01
Responsable del tratamiento
El responsable del tratamiento es Erabox SA, Via delle Fornaci 6, 6826 Riva San Vitale (TI), Suiza.
Como sociedad suiza que ofrece servicios a usuarios de la Unión Europea, Erabox está sujeta tanto al RGPD (Reglamento (UE) 2016/679) como a la Ley Federal suiza de Protección de Datos (nLPD, en vigor desde septiembre de 2023). Si ambas normativas entran en conflicto, aplicamos el estándar que más protege al usuario.
| Aspecto | RGPD (UE) | nLPD (Suiza) |
|---|---|---|
| Ámbito | Usuarios residentes en la UE/EEE | Usuarios suizos + tratamientos en Suiza |
| Base jurídica principal | Art. 6 RGPD | Art. 6 nLPD (principios); art. 31 nLPD (motivos justificativos, cuando sean necesarios) |
| Derecho de acceso | Art. 15 RGPD | Art. 25 nLPD |
| Supresión | Art. 17 RGPD | Art. 32.2.c) nLPD |
| Autoridad de control | Autoridad del país de residencia | FDPIC (Responsable Federal de Protección de Datos y Transparencia) |
Erabox trata datos personales en dos funciones distintas.
Como responsable, Erabox determina los fines y los medios de los tratamientos necesarios para gestionar el servicio: registro y cuenta, suscripciones y pagos, seguridad y registros de acceso, asistencia, verificación de identidad y firma electrónica, verificación del acontecimiento que activa la entrega, datos de las personas de confianza, comunicaciones del servicio, análisis y marketing previo consentimiento, y obligaciones legales. Esta Política de privacidad se refiere a estos tratamientos.
Como encargado del tratamiento (art. 28 RGPD; art. 9 nLPD) Erabox guarda y entrega, por cuenta tuya y siguiendo tus instrucciones, los contenidos que incluyes en las cápsulas y los datos de los Beneficiarios que designas, incluidos los datos de las personas que aparecen en esos contenidos. Eres tú quien decide qué contenidos incluir, a quién entregarlos, cuándo y de qué forma; Erabox no los utiliza para fines propios. La relación se rige por el Acuerdo de tratamiento de datos, que aceptas al crear tu cuenta.
Cuando incluyes contenidos con fines exclusivamente personales o domésticos, el tratamiento que realizas está comprendido en la exención del art. 2.2.c) RGPD y del art. 2.2.a) nLPD. En cualquier caso, las reglas del Acuerdo se aplican como condiciones del servicio que Erabox se compromete a respetar.
Para cualquier solicitud relacionada con tus datos: privacy@erabox.ch
Dirección: Via delle Fornaci 6, 6826 Riva San Vitale (TI), Suiza
02
Tipos de datos recogidos
Nombre y apellidos, dirección de email, contraseña (cifrada), país de residencia, fecha de registro, método de registro (email o inicio de sesión con redes sociales).
Contenidos creados (textos, audio, vídeo, imágenes), datos de los Beneficiarios introducidos por el usuario, configuración de las condiciones de entrega, registros de acceso.
Dirección IP (anonimizada en la analítica), tipo de dispositivo, sistema operativo, versión de la app, cookies e identificadores de sesión.
Gestionados exclusivamente por Stripe Inc. mediante tokenización. Erabox nunca almacena el número completo de tu tarjeta de crédito.
Datos de los Beneficiarios. Tú los tratas como responsable; Erabox los guarda y los utiliza para la entrega como encargado, siguiendo tus instrucciones (sección 01). Si eliges la modalidad en la que el Beneficiario recibe un aviso previo, Erabox le envía por cuenta tuya la información sobre privacidad en el plazo de un mes desde su designación. Si eliges la modalidad reservada, Erabox le facilita la información sobre privacidad en el momento de la entrega, junto con el contenido.
Datos de las personas de confianza. Erabox los trata como responsable, porque sirven para verificar el acontecimiento que activa la entrega. La invitación que Erabox envía a la persona de confianza incluye el enlace a la información sobre el tratamiento de sus datos. La base jurídica es el interés legítimo de Erabox y del Propietario en una verificación fiable del acontecimiento (art. 6.1.f) RGPD).
La información sobre privacidad para terceros está publicada y puede consultarse sin cuenta.
03
Categorías especiales de datos e instrucciones previas
Las instrucciones previas son documentos en los que expresas tu voluntad sobre los tratamientos médicos para el caso de que no puedas decidir por ti mismo. Estos documentos pueden contener información sobre tu salud y entran, por tanto, en las «categorías especiales» de datos del art. 9 RGPD.
Para las instrucciones previas:
- Erabox guarda y entrega tus instrucciones previas por cuenta tuya, como encargado del tratamiento (sección 01). Aun así, antes de que las incluyas te pide un consentimiento explícito específico (art. 9.2.a) RGPD; art. 6.7.a) nLPD), que cubre también los tratamientos que Erabox realiza como responsable, como la vinculación de la cápsula de instrucciones previas a tu cuenta
- Los documentos están cifrados en reposo con AES-256 y protegidos en tránsito con TLS 1.3. El acceso a los sistemas está reservado al personal autorizado y queda registrado
- No usamos estos datos para ninguna finalidad secundaria (análisis, marketing, entrenamiento de IA)
- Puedes retirar tu consentimiento y eliminar los documentos de instrucciones previas en cualquier momento
Aviso legal: Erabox es una plataforma para guardar y entregar contenidos de forma segura, no un servicio jurídico. La validez legal de las instrucciones previas depende de la normativa del país del usuario. Una cápsula de instrucciones previas en Erabox no tiene la forma exigida por el art. 4.6 de la Ley italiana n.º 219, de 22 de diciembre de 2017, ni la del art. 371 del Código Civil suizo, y no está inscrita en la base de datos nacional italiana de disposiciones anticipadas de tratamiento (DAT) (Decreto del Ministerio de Sanidad italiano n.º 168, de 10 de diciembre de 2019). Te recomendamos siempre contar con asesoramiento jurídico.
04
Finalidades del tratamiento
| Finalidades | Datos implicados | Base jurídica | Conservación |
|---|---|---|---|
| Prestación del servicio (cuenta, cápsulas, condiciones de entrega) | Registro, contenidos, condiciones de entrega | Ejecución del contrato — art. 6.1.b) (para los contenidos de las cápsulas, Erabox actúa como encargado) | Ver sección 09 |
| Gestión de pagos y suscripciones | Email, datos de Stripe, historial de transacciones | Ejecución del contrato — art. 6.1.b) | 10 años (obligación fiscal) |
| Seguridad y prevención del fraude | Registros de acceso, IP, huella digital del dispositivo | Interés legítimo — art. 6.1.f) | 12 meses |
| Análisis y mejora del servicio | Datos de uso agregados (Firebase/GA) | Consentimiento — art. 6.1.a) | 26 meses |
| Comunicaciones del servicio (transaccionales) | Ejecución del contrato — art. 6.1.b) | Duración de la cuenta | |
| Marketing y newsletter | Consentimiento — art. 6.1.a) | Hasta la retirada del consentimiento | |
| Gestión de instrucciones previas y otros documentos anticipados | Documentos de salud, voluntades médicas | Consentimiento explícito — art. 9.2.a) (conservación y entrega realizadas como encargado) | Ver sección 09 |
| Verificación del acontecimiento que activa la entrega | Datos de la persona de confianza, fechas de acceso a la cuenta, recordatorios, avisos y confirmaciones | Interés legítimo — art. 6.1.f) | Ver sección 09 |
05
Servicios de terceros integrados
Erabox integra servicios de terceros seleccionados para garantizar el funcionamiento, la seguridad y el crecimiento de la plataforma. Todos los proveedores se han seleccionado en función de su cumplimiento del RGPD y de su respeto por los datos personales.
| Proveedor | Finalidad | Sede | Garantía para la transferencia | Privacidad |
|---|---|---|---|---|
| Firebase / Google | Base de datos, autenticación, analítica móvil | EE. UU. | Data Privacy Framework (Decisión UE 2023/1795; Swiss-U.S. DPF) y CCT (Decisión 2021/914) | ↗ |
| Stripe Inc. | Pagos y suscripciones | EE. UU. | Data Privacy Framework (Decisión UE 2023/1795; Swiss-U.S. DPF) | ↗ |
| Euronovate | Verificación de identidad y firma electrónica simple (FES) | Suiza | Adecuación (Decisión 2000/518/CE) | ↗ |
| Crisp / Crisp IM | Chat de atención al cliente | Francia (UE) | Dentro de la UE | ↗ |
| Brevo (antes Sendinblue) | Emails transaccionales y newsletter | Francia (UE) | Dentro de la UE | ↗ |
| Apple App Store | Distribución de la app para iOS, compras dentro de la app | EE. UU. | Data Privacy Framework (Decisión UE 2023/1795; Swiss-U.S. DPF) | ↗ |
| Google Play Store | Distribución de la app para Android | EE. UU. | Data Privacy Framework (Decisión UE 2023/1795; Swiss-U.S. DPF) y CCT (Decisión 2021/914) | ↗ |
06
Gestión de los datos tras el fallecimiento
El RGPD no se aplica a las personas fallecidas, pero Erabox —como plataforma creada para gestionar mensajes y contenidos destinados al futuro— ha adoptado una política específica para la gestión de los datos tras el fallecimiento, inspirada en el art. 2-terdecies del Código italiano de protección de datos personales (Decreto Legislativo 196/2003) y extendida por analogía a los usuarios suizos.
Los herederos legales pueden solicitar el acceso, la modificación o la supresión de los datos del usuario fallecido, siempre que ello no contravenga las disposiciones expresadas por el usuario antes de su fallecimiento ni a la legislación vigente.
La persona de confianza que designas nunca accede a tu cuenta: su función es avisar o confirmar el acontecimiento que activa la entrega. Si lo deseas, puedes permitirle ver en modo de solo lectura los contenidos de una o varias cápsulas; esta visibilidad dura mientras siga siendo tu persona de confianza y mantengas activo el permiso, y puedes revocarla en cualquier momento. Cada acceso queda registrado.
Además, mediante una declaración escrita enviada a privacy@erabox.ch, puedes prohibir que, tras tu fallecimiento, otras personas ejerzan los derechos sobre tus datos (art. 2-terdecies del Decreto Legislativo 196/2003). Esta prohibición no impide la entrega que hayas programado.
Las cápsulas vinculadas a tu fallecimiento se entregan a los Beneficiarios después del aviso de la persona de confianza o, con la opción «tras un largo silencio», después de su confirmación. Con la opción «tras un largo silencio», una vez transcurrido el periodo que hayas elegido, Erabox te envía un primer recordatorio a los 14 días y un segundo 7 días después; si no accedes en los 7 días siguientes, Erabox contacta con la persona de confianza, que debe confirmarlo. Desde la comunicación a la persona de confianza corre un plazo de seguridad de 14 días. Si accedes a la app antes de la entrega, el procedimiento se interrumpe.
La entrega requiere siempre la intervención de una persona, la persona de confianza, y nunca se decide únicamente mediante un sistema automatizado (art. 22 RGPD; art. 21 nLPD).
Si el fallecimiento ha sido avisado o confirmado por la persona de confianza, las cápsulas ya programadas no se eliminan por la falta de renovación de la suscripción: se conservan hasta su entrega, con un límite máximo de 10 años. No renovar la suscripción no equivale a querer eliminar una cápsula preparada para ser recibida en el futuro.
07
Tus derechos
Como interesado, tienes derechos claros y efectivos. Puedes ejercerlos escribiendo a privacy@erabox.ch — te responderemos en un plazo de 30 días (RGPD, art. 12) o en los plazos previstos por la nLPD.
Para los contenidos de las cápsulas y los datos de los Beneficiarios, que Erabox trata como encargado, Erabox remite la solicitud al usuario que los introdujo y le ayuda a responder. Si el usuario ha fallecido o no responde, Erabox examina la solicitud directamente.
| Derecho | RGPD | nLPD | Cómo ejercerlo |
|---|---|---|---|
| Acceso a los datos | Art. 15 | Art. 25 | Email a privacy@erabox.ch con el asunto «Derecho de acceso» |
| Rectificación | Art. 16 | Art. 32.1 | Directamente desde el Perfil o por email |
| Supresión («derecho al olvido») | Art. 17 | Art. 32.2.c) | Botón «Eliminar cuenta» en Perfil → Privacidad, o por email |
| Limitación del tratamiento | Art. 18 | Art. 32.2.a) | Email a privacy@erabox.ch |
| Portabilidad | Art. 20 | Art. 28 | Exportación de datos disponible en Perfil → Privacidad |
| Oposición | Art. 21 | Art. 30.2.b) | Email a privacy@erabox.ch |
| Retirada del consentimiento | Art. 7.3 | Art. 30.2.b) | Perfil → Privacidad, o por email |
| Reclamación ante la autoridad | Art. 77 | Art. 49 (denuncia ante el FDPIC) | Autoridad de la UE de tu país de residencia o FDPIC |
08
Transferencias internacionales de datos
Algunos proveedores de servicios (Firebase, Stripe, Apple, Google) tienen su sede en Estados Unidos. Las transferencias de datos a países fuera de la UE se realizan de conformidad con el RGPD mediante:
- EU-U.S. Data Privacy Framework, reconocido como adecuado por la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023, para los proveedores estadounidenses adheridos
- Cláusulas contractuales tipo (CCT) aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914, para las transferencias no cubiertas por una decisión de adecuación
Para los datos tratados conforme a la nLPD, las transferencias a proveedores estadounidenses certificados se realizan en el marco del Swiss-U.S. Data Privacy Framework, al que el Consejo Federal ha reconocido un nivel de protección adecuado con efecto desde el 15 de septiembre de 2024 (art. 16.1 nLPD y anexo 1 de la Ordenanza suiza de protección de datos); en los demás casos, mediante cláusulas tipo de protección de datos reconocidas por el FDPIC (art. 16.2.d) nLPD).
La Comisión Europea considera a Suiza un país con un nivel de protección adecuado (Decisión 2000/518/CE, confirmada por el informe de la Comisión COM(2024) 7 final, de 15 de enero de 2024). Desde Suiza hacia los Estados de la Unión, los datos circulan sobre la base del art. 16.1 nLPD y del anexo 1 de la Ordenanza suiza de protección de datos. Por tanto, las transferencias entre Suiza y la Unión se realizan sin medidas adicionales.
09
Plazo de conservación
| Categoría de datos | Plazo de conservación | Motivo |
|---|---|---|
| Datos de la cuenta (perfil de usuario) | Durante la vigencia de la suscripción. Si la suscripción vence sin renovarse: 30 días de cortesía, después suspensión de la cuenta en modo de solo lectura durante 12 meses y, por último, eliminación definitiva | Gestión de la relación, desistimientos y litigios |
| Contenidos (cápsulas, mensajes) | Hasta la entrega, durante la vigencia de la suscripción. Si la suscripción vence sin renovarse: 30 días de cortesía, después 12 meses en modo de solo lectura y, por último, eliminación definitiva | Ejecución de las instrucciones del usuario (Erabox como encargado) |
| Cápsulas programadas, después de que la persona de confianza haya avisado o confirmado el fallecimiento del Propietario | Hasta la entrega, aunque la suscripción no se renueve, con un límite máximo de 10 años. | Ejecución de las instrucciones del Propietario |
| Contenidos entregados | Durante los 30 días de validez del enlace de entrega y, después, eliminación en un plazo de 30 días | Acceso del Beneficiario al contenido |
| Datos de los Beneficiarios | Igual que la cápsula a la que se refieren; eliminación en un plazo de 30 días si el Propietario los elimina | Ejecución de las instrucciones del Propietario |
| Datos de las personas de confianza | Hasta la revocación de la designación o el cierre de la cuenta del Propietario y, después, eliminación en un plazo de 30 días | Verificación del acontecimiento que activa la entrega |
| Cuenta eliminada por el usuario | 30 días para cambiar de opinión y, después, eliminación definitiva | Periodo de gracia |
| Datos de pago (Stripe) | 10 años | Obligación fiscal y contable suiza (art. 958f CO) |
| Registros de acceso y de seguridad | 12 meses | Detección de fraudes y seguridad |
| Registros de las operaciones con datos y de los accesos del personal | 12 meses, separados de los sistemas en los que se tratan los datos | Registro de actividades (art. 4 de la Ordenanza suiza de protección de datos); seguridad (art. 32 RGPD) |
| Datos analíticos (GA, Firebase) | 26 meses (configuración predeterminada de GA4) | Mejora del servicio |
| Emails de asistencia | 36 meses | Trazabilidad de solicitudes y litigios |
| Instrucciones previas / datos de salud | Igual que los contenidos de las cápsulas; si se retira el consentimiento, eliminación en un plazo de 30 días | Ejecución de las instrucciones del usuario |
10
Seguridad y EIPD
Todos los contenidos de los usuarios están cifrados en reposo con AES-256. El transporte se realiza mediante TLS 1.3. Las claves de cifrado las gestiona Erabox: los sistemas de Erabox acceden a los contenidos cuando es necesario para guardarlos, procesarlos y entregarlos.
El acceso a los contenidos está reservado únicamente al personal autorizado, para mantenimiento, seguridad y asistencia, y queda registrado.
Pruebas de penetración anuales. Supervisión continua de vulnerabilidades. En caso de violación de la seguridad de los datos, notificación a la autoridad en un plazo de 72 horas (art. 33 RGPD).
Erabox ha realizado una evaluación de impacto relativa a la protección de datos (art. 35 RGPD), dado que trata datos sensibles (instrucciones previas). EIPD completada el: 26 de agosto de 2026.
11
App Store, Google Play y dispositivos móviles
Erabox está disponible en App Store (iOS) y Google Play (Android). Ambas plataformas exigen información específica sobre privacidad:
En la ficha de App Store encontrarás el resumen completo de los datos recogidos según la clasificación de Apple. Las categorías declaradas incluyen: datos de contacto, identificadores, uso y diagnóstico.
La ficha de Google Play incluye la sección «Seguridad de los datos», con el detalle de la recogida, el intercambio y las prácticas de seguridad.
Antes de activar Firebase Analytics, te pedimos tu consentimiento en la app. En iOS se añade además el aviso ATT (App Tracking Transparency) previsto por las directrices de Apple.
Puedes eliminar tu cuenta directamente desde la app, sin tener que visitar el sitio web. El botón está en Perfil → Privacidad → Eliminar cuenta.
12
Cambios en la Política de privacidad
Podemos actualizar esta Política de privacidad en caso de cambios normativos, tecnológicos o en la oferta del servicio. Los cambios se comunican de la siguiente forma:
- Cambios sustanciales: email de aviso con al menos 30 días de antelación + aviso en la app
- Cambios menores: actualización de la fecha que figura al principio de esta página
La versión actualizada está siempre disponible en erabox.ch/es/politica-de-privacidad. Si sigues utilizando el servicio después de la fecha de entrada en vigor de los cambios, aceptas la nueva versión.
Para cualquier aclaración sobre esta Política de privacidad: privacy@erabox.ch