La versión alemana es legalmente vinculante.

Política de privacidad

Versión: 20 de octubre de 2026. Únicamente es vinculante la versión alemana; las traducciones sirven solo para la comprensión.

Esta declaración te explica qué datos personales tratamos en todo.monster (en adelante «Servicio»), con qué fin, sobre qué base, quién los recibe y durante cuánto tiempo los conservamos. «Letra a» a «letra f» se refieren al art. 6, apartado 1, RGPD.

1. Responsable del tratamiento y contacto

Coozinha UG (haftungsbeschränkt), Sonnenallee 26, 12047 Berlin, Alemania, representada por el administrador Jan Kube. Registro Mercantil: Amtsgericht Charlottenburg, HRB 239912 B. Correo electrónico: support@todo.monster.

No hemos designado un delegado de protección de datos; no estamos obligados a ello. Las preguntas sobre protección de datos y las solicitudes relativas a tus derechos puedes dirigirlas a support@todo.monster.

2. Ámbito de aplicación y roles

Esta declaración se aplica al sitio web y a la aplicación web en todo.monster. El Servicio se dirige a empresarios y no a menores de edad; solo celebramos contratos con personas a partir de 18 años.

Somos responsables del tratamiento de tu cuenta, el inicio de sesión, la seguridad del Servicio, la facturación, el soporte, los correos del sistema y el programa piloto.

Somos encargados del tratamiento (art. 28 RGPD) de los contenidos que un cliente empresarial y sus miembros tratan en las áreas de empresa: proyectos, tareas, comentarios, adjuntos, registro de tiempo, buzones de la empresa, calendarios de la empresa y la conversión con IA desde los buzones de la empresa. El responsable es el cliente empresarial; la base es el contrato de encargo del tratamiento (ADV), que cada cliente acepta en el registro. Si eres miembro o invitado de una empresa, dirige tus preguntas sobre estos contenidos a la empresa; las solicitudes que nos lleguen se las remitimos. Para tu propia cuenta seguimos siendo nosotros los responsables.

Si tratas en el Servicio datos de otras personas, por ejemplo remitentes de correos electrónicos importados o participantes de citas, tú eres responsable de ello.

3. Acceso al sitio web

En cada acceso tratamos datos técnicos de acceso: dirección IP, momento, dirección solicitada, identificación del navegador y estado de la respuesta. La finalidad es la entrega, la búsqueda de errores y la defensa contra ataques (letra f; nuestro interés legítimo es el funcionamiento seguro). Para las limitaciones contra abusos conservamos la dirección IP únicamente como hash durante minutos u horas; los avisos de tu navegador sobre nuestra política de seguridad (Content Security Policy) los registramos de forma abreviada y sin referencia personal.

El Servicio se aloja en Mittwald CM Service GmbH & Co. KG, Espelkamp, en un centro de datos en Alemania. Los registros del servidor y de la aplicación los eliminamos tras 30 días. Los scripts, fuentes y hojas de estilo los servimos nosotros mismos; las excepciones figuran en la sección 5 (protección contra bots) y en la sección 12.

4. Cookies y almacenamiento en el dispositivo

Las cookies todomonster_session y remember son estrictamente necesarias para el servicio que has solicitado (§ 25, apartado 2, n.º 2, TDDDG, Ley alemana de Protección de Datos en las Telecomunicaciones y los Servicios Digitales); no se requiere consentimiento, por eso no hay banner de cookies. En el almacenamiento del navegador (localStorage, sessionStorage) guardamos ajustes de visualización como anchos de columna, avisos ocultados y la última selección de proyecto; estos valores no salen de tu navegador. No utilizamos cookies de análisis, publicidad ni seguimiento, ni fingerprinting.

Cuando planificas tareas, guardamos la zona horaria utilizada para la planificación en la tarea o en la regla de recurrencia. Esta información sobre la zona horaria se incluye en tu exportación de datos. Para determinar la zona horaria del dispositivo no se necesita permiso de ubicación.

5. Cuenta, inicio de sesión y seguridad

Registro y perfil. Para una cuenta necesitamos nombre, apellidos, dirección de correo electrónico y una contraseña, que almacenamos únicamente como hash; la dirección la confirmas con un código por correo electrónico. Sin estos datos no podemos celebrar ningún contrato; todos los demás datos (mensaje de estado, foto de perfil, idioma, ajustes de visualización) son voluntarios. La base es el contrato de uso (letra b). Tu nombre, tu foto y tu mensaje de estado son visibles para los miembros de tus proyectos y empresas. Las cuentas no confirmadas las eliminamos tras 14 días.

Consentimientos. Como prueba de que has aceptado las AGB y el ADV, guardamos el momento, la versión y la dirección IP (cifrada) (letra f; interés en la prueba).

Inicio de sesión. Registramos cada intento de inicio de sesión con dirección de correo electrónico, momento, dirección IP, identificación del navegador y resultado, para detectar ataques; tras 20 intentos fallidos en 15 minutos bloqueamos temporalmente el inicio de sesión (letra f). Este registro lo eliminamos tras 90 días. Los administradores del Servicio ven el momento de tu último inicio de sesión correcto.

Comprobación de contraseñas. Al asignar una contraseña enviamos un breve fragmento de su valor hash al servicio «Have I Been Pwned» (api.pwnedpasswords.com) y comprobamos la respuesta localmente. A partir de este fragmento no se puede deducir ni tu contraseña ni tu identidad; la contraseña en sí nunca sale del Servicio (letra f; seguridad de la cuenta).

Protección contra bots. En la página de registro, tu navegador carga un script de verificación del servicio EU-Captcha (Myra Security GmbH). En ese proceso, el proveedor recibe tu dirección IP, la identificación del navegador y el resultado de la verificación (letra f; protección contra registros automatizados).

Accesos para clientes de IA (MCP). Solo los administradores del Servicio pueden generar tokens de acceso para clientes de IA; los tokens expiran tras 30 días, y los accesos los registramos con la dirección IP. Para los demás usuarios no se produce allí ningún tratamiento.

6. Contenidos: tareas, proyectos, comentarios, adjuntos, tiempos, empresas

Tú creas proyectos, módulos, tareas (título, descripción, fechas, estado, prioridad), comentarios, asignaciones, etiquetas, adjuntos y entradas de tiempo; nosotros mantenemos un historial de cambios y notificaciones al respecto. La base es el contrato de uso (letra b); para los contenidos de empresa se aplica la sección 2. Los contenidos solo son visibles para los miembros del proyecto o de la empresa correspondiente según su rol.

Los títulos, descripciones, comentarios y datos de acceso de los buzones y calendarios conectados se almacenan cifrados en el lado del servidor (AES-256); tu contraseña la guardamos únicamente como hash Argon2id. En el funcionamiento normal no accedemos a los contenidos. Las excepciones son la restauración desde la papelera a petición tuya, en la que los administradores ven el nombre de usuario, la dirección de correo electrónico, los títulos de proyectos, módulos y tareas y los momentos de eliminación, y el diagnóstico de errores; ambas se registran.

Los contenidos eliminados permanecen 30 días en la papelera y después se suprimen definitivamente. Las notificaciones las eliminamos tras 30 días. Puedes descargar tus propios datos de trabajo como exportación; la descarga está disponible durante 24 horas.

Empresas e invitaciones. Para una empresa guardamos el nombre, el propietario, los miembros y los roles, así como un registro de las operaciones de gestión (quién ha cambiado qué), que conservamos durante tres años (letra f; trazabilidad). Si te invitan por correo electrónico a un proyecto o a una empresa, hemos recibido tu dirección de la persona que te invita (art. 14 RGPD); la tratamos únicamente para la invitación (letra f; interés de quien invita en la colaboración). La invitación caduca tras 7 días, y el registro lo eliminamos tras 30 días. El correo electrónico de invitación enlaza a esta declaración.

7. Buzones de correo electrónico conectados

Puedes conectar un buzón propio (IMAP/SMTP). Guardamos el servidor, el nombre de usuario y la contraseña (cifrada) y recuperamos los mensajes cada cinco minutos: remitente, destinatarios, asunto, texto y adjuntos. El asunto y el texto se almacenan cifrados. Un filtro de spam aprende de tus marcaciones. La base es el contrato de uso (letra b). El destino es el proveedor de correo electrónico que has elegido; los buzones de la empresa los conecta la empresa, y para ellos se aplica la sección 2.

Los remitentes y destinatarios de estos mensajes no reciben ninguna información nuestra; la fuente de sus datos (nombre, dirección, contenidos) es tu buzón, y el responsable de ello eres tú o tu empresa.

Los mensajes eliminados los suprimimos de la papelera tras 45 días; un buzón eliminado, junto con sus datos de acceso, tras 30 días; los registros de recuperación, como muy tarde tras 7 días.

8. Función de IA «De correo electrónico a tarea»

Solo si eliges «Con IA» en el buzón, transmitimos el nombre del remitente, la dirección del remitente, el momento de recepción, el asunto y el texto depurado del correo electrónico elegido (como máximo 24.000 caracteres, sin adjuntos) a un modelo de lenguaje de Mittwald AI Hosting (Mittwald CM Service GmbH & Co. KG). El modelo se ejecuta en Alemania; Mittwald se ha comprometido a no utilizar las entradas para el entrenamiento de modelos. Se devuelve una propuesta de título, descripción y fecha, que tú revisas y modificas; no se produce ninguna decisión automatizada.

La base es, para tus datos, el contrato de uso (letra b), y para los datos del remitente, nuestro interés legítimo y el tuyo en una tramitación rápida (letra f). Antes del primer uso te advertimos en el diálogo sobre la transmisión; puedes elegir «Sin IA» en cada conversión o desactivar la función de forma permanente en tus ajustes.

Por cada llamada registramos usuario, mensaje, modelo, volumen, duración y resultado sin contenidos (letra f; facturación y protección contra abusos) y eliminamos el registro tras 90 días.

9. Calendarios: Google, Microsoft y CalDAV

Google. Puedes conectar una cuenta de Google. Inicias sesión directamente en Google y nos autorizas allí a leer y escribir en tus calendarios. Guardamos los tokens de acceso (cifrados) y la dirección de la cuenta y recuperamos las citas de los calendarios elegidos: título, descripción, lugar, horas y participantes. Las citas que creas o modificas en el Servicio las transmitimos a Google, incluidos los nombres y direcciones de los participantes.

Microsoft. Puedes conectar una cuenta privada de Microsoft (Outlook.com, Hotmail, Live). Inicias sesión directamente en Microsoft y nos autorizas allí de forma permanente a leer y escribir en tus calendarios. Guardamos los tokens de acceso (cifrados) y la dirección de la cuenta y recuperamos las citas de los calendarios elegidos: título, descripción, lugar, horas, participantes y adjuntos de hasta 5 MiB. Las citas que creas o modificas en el Servicio las transmitimos a Microsoft, incluidos los nombres y direcciones de los participantes; Microsoft puede enviarles invitaciones.

CalDAV. Como alternativa, conectas un servidor de calendario de tu elección (por ejemplo, Nextcloud o Fastmail) con dirección, nombre de usuario y contraseña (cifrada); la sincronización funciona del mismo modo.

La base es el contrato de uso (letra b), porque tú mismo configuras la conexión. Google, Microsoft y tu proveedor de CalDAV son responsables del tratamiento independientes elegidos por ti, a los que te vinculas por iniciativa propia; Google y Microsoft también tratan datos en los EE. UU. (sección 15). Si leemos citas de tu calendario, este es la fuente de los datos (art. 14 RGPD); si escribimos citas, el proveedor del calendario es el destinatario. De los datos de los participantes de las citas eres tú el responsable. Si desconectas la conexión, eliminamos los datos de acceso y dejamos de recuperar nada; las citas importadas permanecen hasta que las elimines o se elimine tu cuenta.

10. Tarifas de pago, facturas, contratos

Si contratas una tarifa de pago, guardamos el nombre y la dirección de facturación, el correo electrónico de facturación, en su caso el número de identificación a efectos del IVA y el número del Registro Mercantil, el contrato, las facturas, los pagos y los mandatos de adeudo directo (letra b). Las facturas y los comprobantes contables los conservamos durante diez años (letra c; § 147 AO, § 14b UStG). Tu número de identificación a efectos del IVA lo verificamos mediante el procedimiento de confirmación de la Comisión Europea (VIES); la respuesta la anonimizamos tras 400 días. En la contratación registramos el momento, la versión y la dirección IP (cifrada) de tus consentimientos y eliminamos la dirección IP tres años después del fin del contrato. En una empresa, el propietario ve qué miembros se facturan. Si utilizas un código de recomendación, guardamos la vinculación entre la cuenta que recomienda y la cuenta recomendada para el abono (letra b).

Los pagos los procesa Mollie B.V., Ámsterdam, Países Bajos. Mollie recibe el nombre y la dirección de correo electrónico de la cuenta de facturación, el importe, el concepto y el método de pago, y nos comunica el estado del pago. Mollie es responsable del tratamiento independiente; su política de privacidad: mollie.com/de/privacy.

11. Correos del sistema y soporte

Te enviamos los correos electrónicos que el Servicio necesita: código de confirmación, enlace de inicio de sesión, invitaciones, facturas, notificaciones, confirmaciones de contrato y de eliminación (letra b). El envío se realiza a través del servidor de correo de Mittwald en Alemania; el registro de envío no contiene ni la dirección ni el asunto.

Si escribes a support@todo.monster, tratamos tu dirección y el contenido para tramitar la solicitud (letra b, en otro caso letra f). Las solicitudes de soporte las conservamos durante 12 meses más tras su cierre para posibles consultas.

12. Integraciones opcionales: notificador de errores y vídeos

Notificador de errores. Con la sesión iniciada puedes notificarnos un error. Solo cuando activas la notificación, transmitimos una captura de pantalla de la página actual (puede mostrar contenidos de otras personas), el título y la descripción, opcionalmente tu dato de contacto, la dirección de la página, el navegador, el dispositivo, el tamaño de pantalla y el momento a nuestro servidor de notificaciones en Strato (Alemania) (letra f; corrección de errores). La ventana de notificación carga su script desde este servidor y no deposita identificadores en tu navegador. Las notificaciones y capturas de pantalla las eliminamos tras 90 días.

Vídeos. Los vídeos introductorios los integramos a través de YouTube solo después de que hagas clic (solución de dos clics); antes, tu navegador no tiene ningún contacto con Google. Con el clic consientes que Google reciba tu dirección IP y los datos de uso del vídeo (letra a; § 25, apartado 1, TDDDG). «Cargar siempre» guarda este consentimiento en tu cuenta; puedes revocarlo en cualquier momento con efecto para el futuro. Google también trata datos en los EE. UU. (sección 15).

13. Programa piloto e incorporación

Si tu empresa participa en el programa piloto, acompañamos la implantación: llevamos por cada empresa un expediente con el historial, listas de verificación y registro de contactos, invitamos a sesiones en directo, preguntamos por tu satisfacción (encuestas, NPS, textos libres) y guardamos tu progreso en los vídeos introductorios. La base son el acuerdo piloto (letra b) y nuestro interés en mejorar el producto (letra f). Si un interesado nos indica una persona de contacto, recibimos de él su nombre, dirección de correo electrónico y número de teléfono (art. 14 RGPD) y los utilizamos únicamente para la invitación.

Plazos: las encuestas pierden la referencia personal tras 12 meses; los textos libres y expedientes los eliminamos tras 24 meses, las grabaciones de sesiones en directo tras 30 días, las invitaciones piloto cerradas tras 12 meses. Las respuestas a solicitudes de acceso sobre estos datos las registramos sin contenidos durante tres años.

14. Destinatarios

Con nuestros encargados del tratamiento existen contratos conforme al art. 28 RGPD; la lista completa con direcciones figura en el Anexo C del ADV. Las autoridades solo reciben datos cuando estamos legalmente obligados a ello (letra c).

15. Transferencia a terceros países

Todo lo que contratamos nosotros mismos (alojamiento, copia de seguridad, envío de correo, modelo de IA, notificador de errores, pago) se ejecuta en la UE. Fuera de la UE solo se trata lo que tú provocas: si conectas una cuenta de Google o de Microsoft, Google o Microsoft tratan tus datos de calendario también en los EE. UU.; si cargas un vídeo de YouTube, Google recibe datos en los EE. UU. La base es la decisión de adecuación de la Comisión Europea sobre el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework), siempre que el destinatario esté certificado en él; en caso contrario, son las cláusulas contractuales tipo de la Comisión Europea. Un buzón o un servidor de calendario fuera de la UE lo eliges tú mismo. El fragmento de hash de la comprobación de contraseñas (sección 5) se envía a un servicio fuera de la UE, pero no contiene datos personales.

16. Plazo de conservación

Tras la eliminación de la cuenta queda un registro sin referencia personal («Usuario eliminado»), porque las contribuciones en proyectos compartidos, las facturas y los contratos hacen referencia a él; tus contribuciones se conservan para los demás miembros sin tu nombre. Los registros de inicio de sesión conservan hasta el vencimiento de su plazo una dirección IP abreviada sin identificación del navegador.

17. Tus derechos

Tienes derecho de acceso (art. 15 RGPD), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18) y portabilidad de los datos (art. 20). El nombre, la dirección y los ajustes los cambias en el perfil; tus datos de trabajo los exportas allí como archivo; tu cuenta la eliminas allí tú mismo. Un consentimiento (vídeos, sección 12) puedes revocarlo en cualquier momento con efecto para el futuro; el tratamiento hasta la revocación sigue siendo lícito. Para todo lo demás basta un correo electrónico informal a support@todo.monster. Si tu solicitud afecta a contenidos de una empresa, se la remitimos a la empresa (sección 2).

Derecho de oposición (art. 21 RGPD). Puedes oponerte en cualquier momento, por motivos relacionados con tu situación particular, a un tratamiento que basemos en un interés legítimo (letra f). Dejaremos entonces de tratar los datos, salvo que podamos acreditar motivos legítimos imperiosos que prevalezcan sobre tus intereses, derechos y libertades, o que el tratamiento sirva para la formulación, el ejercicio o la defensa de reclamaciones. No realizamos publicidad directa.

Puedes presentar una reclamación ante una autoridad de control en materia de protección de datos (art. 77 RGPD). La autoridad competente para nosotros es la Comisionada de Berlín para la Protección de Datos y la Libertad de Información (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, datenschutz-berlin.de.

18. Decisiones automatizadas

No tomamos decisiones basadas exclusivamente en un tratamiento automatizado ni elaboramos perfiles. La función de IA (sección 8) solo proporciona propuestas que tú revisas.

19. Modificaciones

Adaptamos esta declaración cuando cambia el Servicio o la situación jurídica. Si queremos tratar datos para un fin distinto del indicado aquí, te informamos previamente. Se aplica la versión publicada en esta página con la fecha indicada en el encabezado.