Política de privacidad

Quiénes somos

Done está operado por Pickleland LLC, 21427 Martin Lane, Pflugerville, TX 78660, Estados Unidos (“nosotros”). Respecto de los datos personales que describe esta página, somos el responsable del tratamiento conforme al Reglamento General de Protección de Datos de la UE y del Reino Unido (RGPD) y leyes similares. Cuando una organización usa Done para su trabajo, es la responsable del tratamiento del contenido de sus espacios de trabajo, y nosotros tratamos ese contenido en su nombre conforme a nuestro Acuerdo de tratamiento de datos. Para preguntas sobre esta política o sobre tus datos: support [arroba] trydone.app.

Qué guardamos

• Tu dirección de correo electrónico, que se usa para identificar tu cuenta y para iniciar sesión.
• Un hash de tu contraseña (argon2id) — nunca guardamos tu contraseña en texto plano.
• Un hash de tu token MCP, si generaste uno — el token en sí se te muestra una sola vez y no se guarda de forma reversible.
• Las tareas, proyectos, comentarios e historial de actividad que creas tú (o un agente de IA que actúa en tu nombre).
• Cookies de sesión que se usan para mantener tu sesión iniciada.
• Tu nombre y, si inicias sesión con Google o Microsoft, el ID y la dirección de correo de esa cuenta.
• Si te pasas a un plan de pago, tu plan, tu ID de cliente de Stripe y el estado de tu suscripción (consulta Pagos más abajo).
• Si activas las notificaciones, la suscripción push o el token de dispositivo necesarios para avisarte.
• Cómo llegaste a Done (consulta Cómo llegaste a Done más abajo).
• Cuándo aceptaste los Términos del servicio y esta Política de privacidad, si creaste tu cuenta después de que empezáramos a registrarlo.

Lo que no hacemos

• Las apps de iOS y Android no ejecutan ninguna herramienta de analítica ni rastreador publicitario de terceros. En la web, trydone.app — incluida la app web con sesión iniciada — usa Google Analytics (solo con tu consentimiento cuando la ley lo exige) y Cloudflare Web Analytics; consulta Analítica en este sitio web más abajo.
• No vendemos tus datos ni usamos el contenido de tus tareas para entrenar modelos.
• No compartimos tus datos con otras cuentas de Done, salvo con las personas que invitas a un espacio de trabajo compartido o con quienes compartes un proyecto. Fuera de eso, las tareas de cada cuenta están aisladas en la capa de base de datos.

Dónde se guarda

Tus tareas, proyectos, comentarios y actividad viven en una base de datos Cloudflare D1 (SQLite). Los archivos adjuntos a las tareas se guardan en un bucket de Cloudflare R2. A ambos solo accede el propio Worker de Done, y no existe una segunda copia de ninguno en un almacén de analítica ni en una base de datos de terceros.

Ambos se guardan en las ubicaciones de Cloudflare en Norteamérica, en Estados Unidos. El código de Done se ejecuta en la red global de Cloudflare, así que una solicitud puede atenderse en el centro de datos más cercano a ti, pero la copia guardada de tus datos está en Estados Unidos. Consulta Transferencias internacionales más abajo.

Cuando se elimina un archivo — vacías la Papelera o eliminas una tarea desde ella, una tarea caduca en la Papelera, quitas el archivo o una subida más reciente lo reemplaza — desaparece de Done de inmediato, pero la copia guardada se conserva 30 días antes de eliminarse de forma permanente. Si eliminas tu cuenta, no hay que esperar: los archivos de los espacios de trabajo que te pertenecen se eliminan de forma permanente al instante.

Analítica en este sitio web

trydone.app — las páginas de marketing, el blog, la documentación y los precios, y también la app web en trydone.app/app y su pantalla de inicio de sesión — puede cargar Google Tag Manager y Google Analytics 4 para que podamos ver qué páginas visita la gente.

Si estás en el Espacio Económico Europeo, el Reino Unido o Suiza, o si no podemos saber dónde estás, ninguno de los dos se carga hasta que eliges Aceptar en el banner de cookies; si eliges Rechazar, siguen desactivados. En el resto de lugares se cargan por defecto. Estés donde estés, puedes cambiar tu elección en cualquier momento con Configuración de cookies, al pie de cada página, o aquí. Al rechazar, se eliminan de tu navegador las cookies de Google Analytics.

Cuando se ejecuta, Google Analytics instala cookies propias (_ga y _ga_*) y recibe la dirección y el título de cada página que abres, la página de procedencia, tu tipo de navegador y de dispositivo, y una ubicación aproximada derivada de tu dirección IP. En la app web, la dirección de una página puede incluir el ID de la tarea o vista que abriste (y, en una página guardada con el bookmarklet de Done, el título de esa página), pero Google Analytics no lee lo que hay en tu tablero. Google trata estos datos según su Política de privacidad, y puedes excluirte con el complemento de inhabilitación de Google Analytics para navegadores.

Cloudflare, que aloja Done, también añade Cloudflare Web Analytics a estas páginas. Cuenta visitas y tiempos de carga a partir de la dirección de la página, la página de procedencia y tu tipo de navegador, sin instalar cookies (Política de privacidad de Cloudflare).

Ninguna de las dos se ejecuta en las apps de iOS o Android.

Verificación antibots al registrarte

Para frenar los registros automatizados, el campo de correo «Empieza gratis» de estas páginas de marketing y el formulario de registro en la web usan Cloudflare Turnstile. Solo se carga cuando haces clic en ese campo o abres el formulario de registro, no al cargar la página. Normalmente funciona sin mostrar nada; a veces te pide marcar una casilla.

Cuando se ejecuta, Cloudflare recibe tu dirección IP y datos técnicos de tu navegador y tu dispositivo, y los usa para valorar si quien visita es una persona. Cloudflare trata esa información según su Turnstile Privacy Addendum. Lo que vuelve a Done es un token de un solo uso. Cuando creas una cuenta, Done envía ese token y tu dirección IP a Cloudflare para confirmarlo, y recibe un resultado de aprobado o no aprobado. Done no guarda el token.

Turnstile no forma parte de las apps de iOS ni de Android. Solo se ejecuta en ese campo de correo y en el formulario de registro.

Correo electrónico

Done envía correos a través de Resend: restablecimiento de contraseña, verificación del correo, invitaciones a espacios de trabajo, el resumen diario, alertas de aprobación y avisos sobre tu plan. Resend recibe tu dirección de correo y el propio mensaje, que en el resumen y las alertas incluye los títulos de las tareas implicadas (Política de privacidad de Resend).

Si usas tu dirección de reenvío para convertir correos en tareas, los correos que le reenvías llegan a través del enrutamiento de correo de Cloudflare, y Done solo los convierte en tareas cuando vienen de tu propia dirección verificada.

Notificaciones

Si activas las notificaciones, Done guarda la suscripción push (en un navegador) o el token de dispositivo (en la app de iOS o Android) necesarios para avisarte, y entrega las notificaciones a través del servicio push de tu navegador o de Apple Push Notification service y Firebase Cloud Messaging. Una notificación lleva un mensaje breve y genérico y el ID de la tarea a la que se refiere, no el contenido de la tarea. Puedes desactivar las notificaciones en cualquier momento.

Pagos

Los planes de pago se cobran a través de Stripe. Stripe recoge tus datos de pago; Done recibe tu ID de cliente de Stripe, tu plan y el estado de tu suscripción, nunca el número de tu tarjeta (Política de privacidad de Stripe).

Google Calendar

Conectar una cuenta de Google es opcional. Si lo haces, Done le pide a Google el acceso mínimo que necesita cada función, y usa lo que recibe solo para las funciones de abajo.

A qué accede Done

• Si inicias sesión con Google (openid, email, profile): el ID de tu cuenta de Google, tu correo y tu nombre, para crear tu cuenta de Done e iniciar tu sesión. Done no guarda tu foto de perfil.
• El correo de tu cuenta de Google (openid, email), para etiquetar una conexión de calendario y que distingas tus cuentas.
• Acceso de solo lectura al calendario (calendar.calendarlist.readonly, calendar.freebusy, calendar.events.readonly): la lista de tus calendarios, cuándo estás ocupado y — en los calendarios que elijas — el título, la hora, el lugar, el organizador, los nombres y correos de los asistentes y el enlace a Google Calendar de cada evento. Con este acceso Done no puede cambiar nada.
• Solo si activas la escritura en el calendario (calendar.app.created): permiso para crear un calendario secundario de Done y añadir, mover y quitar eventos solo en ese calendario. Google garantiza que con este permiso Done no puede leer, cambiar ni borrar nada en ningún otro calendario.

Para qué lo usa Done

• Para mostrar tus reuniones junto a tus tareas y planificar tareas alrededor de tu tiempo ocupado.
• Para sugerir de qué tarea trata una reunión, y recordar los vínculos que confirmes.
• Con la escritura activada, para poner bloques de enfoque de tus tareas programadas en el calendario propio de Done.

Nada más. Los datos de Google nunca se usan para publicidad, nunca se venden, nunca se usan para crear un perfil tuyo, y nunca se usan para desarrollar, mejorar ni entrenar modelos de IA o aprendizaje automático — ni nuestros ni de nadie. Nadie en Done los lee salvo con tu permiso explícito para atender una solicitud de soporte, cuando sea necesario por seguridad o cuando la ley lo exija.

Con quién se comparten

Con nadie más, con dos excepciones. Cloudflare aloja la base de datos y el Worker de Done y procesa estos datos en nuestro nombre como proveedor de infraestructura. Y si tú conectas un agente de IA a tu cuenta por MCP (ver abajo), ese agente puede leer tus eventos de calendario en caché igual que lee tus tareas — porque tú lo conectaste y se lo pediste. Done por sí mismo nunca envía tus datos de calendario a ningún proveedor de IA.

Cómo se protegen

Los tokens de acceso de Google y los datos de calendario en caché se guardan en la base de datos Cloudflare D1 de Done, cifrada en reposo, y solo viajan por TLS. Solo los lee el propio Worker de Done, están aislados por cuenta y nunca se exponen al navegador ni a otra cuenta de Done.

Cuánto tiempo se guardan, y cómo borrarlos

• Las horas ocupadas y los detalles de eventos se guardan en caché solo para una ventana móvil alrededor de hoy y se actualizan en cada sincronización. Un evento cancelado, que sale de esa ventana o que está en un calendario que desmarcas se borra en la siguiente sincronización.
• Desconectar una cuenta de Google en Done borra sus tokens, todas las horas ocupadas y eventos en caché y los vínculos con tareas basados en ellos; quita los bloques de enfoque de Done de Google Calendar si la escritura estaba activada; y revoca el acceso de Done en Google.
• Borrar tu cuenta de Done lo borra todo.
• También puedes quitarle el acceso a Done en cualquier momento en https://myaccount.google.com/permissions.

El uso y la transferencia a cualquier otra aplicación por parte de Done de la información recibida de las API de Google cumplirán la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso limitado.

Agentes de IA y MCP

Done no tiene un asistente de IA propio, y Done nunca envía tus datos — incluido nada de Google Calendar — a un proveedor de IA por iniciativa propia. La IA de Done es un agente que tú ya usas — Claude, ChatGPT, Cursor u otro cliente MCP — y que conectas a tu propia cuenta. El único caso en que Done envía una tarea por sí mismo es un servicio de agentes en la nube que tú conectas y pones en marcha, como Nightjar (consulta Apps conectadas más abajo).

Si generas un token MCP y conectas un agente de IA, ese agente puede leer y escribir las tareas, proyectos, comentarios y etiquetas de tu cuenta, y leer tus eventos de calendario en caché si conectaste Google, usando la misma API que usa la app web — nada más. No puede acceder a los datos de otra cuenta, y nunca recibe tu contraseña ni la contraseña de tu correo electrónico.

Como ese agente se ejecuta en la infraestructura de su proveedor, todo lo que lee de tu cuenta se divulga a ese proveedor conforme a tu acuerdo con él, no al nuestro. Esa conexión solo existe después de que creas deliberadamente un token y configuras el agente con él, y termina en el momento en que revocas el token. No registramos el contenido de tus conversaciones con tus propias herramientas de agentes; solo vemos los datos de tareas que crea o edita a través de la API, igual que cualquier cosa que escribas tú mismo.

Apps conectadas

Puedes conectar otras apps a tu cuenta para que un agente que hayas conectado encuentre contexto o guarde allí su trabajo. Cada una es opcional, la conectas tú y puedes desconectarla en cualquier momento desde el panel Cuenta. Cuáles se ofrecen depende de lo que esté activado en Done en ese momento.

• Gmail (gmail.readonly): solo lectura, para buscar y leer tu correo como contexto. Done nunca envía correos.
• Google Drive (drive.file): solo los archivos que creó Done o que abres con él; un agente puede guardar allí su trabajo.
• Slack: añadir Done a un espacio de trabajo te permite crear y actualizar tareas con /done y recibir mensajes de aprobación, así que Slack recibe los datos de la tarea que van en esos mensajes. Si además conectas Slack como contexto, un agente puede buscar y leer mensajes en los canales que Done puede ver; esa conexión nunca publica nada.
• Notion: solo las páginas y bases de datos que eliges compartir al conectarlo; un agente puede leerlas y escribir en ellas.
• GitHub (repo, read:user): los repositorios, issues y pull requests a los que tiene acceso tu cuenta de GitHub; un agente puede leerlos y escribir en ellos.
• Linear: issues y proyectos; un agente puede leerlos y escribir en ellos.
• Granola y Fireflies: notas y transcripciones de reuniones, solo lectura, con una clave de API que pegas tú.
• PostHog: tus insights guardados, solo lectura, con una clave de API que pegas tú.
• Nightjar: si conectas una cuenta de Nightjar y pulsas Ejecutar ahora en una tarea, Done envía el título y la descripción de esa tarea (hasta 4.000 caracteres) a Nightjar, que la trabaja con un agente en la nube y devuelve el resultado como un comentario.

Done guarda el token de acceso o la clave de API de cada conexión en su base de datos Cloudflare D1, que está cifrada en reposo. Solo contacta con la app cuando tú, o un agente que conectaste, pide algo, y devuelve el resultado a ese agente; lo que el agente lee lo trata después su proveedor según tu acuerdo con él. Cada app trata además tus datos según su propia política de privacidad. Al desconectar se borra la credencial guardada.

Los datos de Gmail y Google Drive tienen los mismos compromisos que Google Calendar más arriba: nunca se usan para publicidad, nunca se venden, nunca se usan para crear un perfil tuyo y nunca se usan para entrenar modelos de IA, y el uso y la transferencia que hace Done de ellos cumplen la Política de datos de usuario de los servicios de API de Google, incluidos los requisitos de Uso limitado.

Cómo llegaste a Done

Cuando te registras, Done guarda cómo llegaste, con datos que tu navegador conservó en ese dispositivo de tus visitas anteriores a trydone.app (en el almacenamiento local, hasta 90 días): el sitio de procedencia, las etiquetas de campaña (utm_*) y el ID de clic publicitario que llevara el enlace, la primera y la última página por la que entraste, la página desde la que te registraste y tu país, estimado por Cloudflare a partir de tu dirección IP. Se guarda con tu cuenta y solo se usa para entender qué canales traen gente a Done.

Los datos de visita son analítica, así que siguen tu elección de cookies: donde Google Analytics espera tu consentimiento (consulta Analítica en este sitio web), tu navegador solo los conserva después de que aceptas, y si rechazas se eliminan. Tu país se registra igualmente al registrarte.

Si te unes con el enlace de invitación de un amigo, él suma crédito para una recompensa, y la página de invitación te muestra su nombre de pila. El código de invitación se conserva sea cual sea tu elección de cookies, porque abonarle el crédito a tu amigo es precisamente lo que implica seguir su enlace.

Por qué usamos tus datos

Cuando se aplica el RGPD, estas son nuestras bases jurídicas:

• Para prestarte Done conforme a nuestros términos (contrato): tu cuenta y el inicio de sesión, tus tareas, proyectos, comentarios y archivos, las apps y notificaciones que activas, los correos que envía el servicio y la facturación si te pasas a un plan de pago.
• Con tu consentimiento: Google Analytics y los datos de visita descritos en Cómo llegaste a Done, cuando la ley exige consentimiento. Puedes retirarlo en cualquier momento con Configuración de cookies.
• Nuestros intereses legítimos en mantener Done seguro y entender cómo se usa: la verificación antibots al registrarte, los límites de solicitudes y los registros de solicitudes de corta duración; tu país al registrarte; y, fuera de las regiones donde pedimos permiso primero, la analítica del sitio web. Puedes oponerte a ellos en cualquier momento.
• Obligaciones legales: conservar los registros de facturación durante el tiempo que exija la normativa fiscal.

Transferencias internacionales

Done se gestiona desde Estados Unidos y guarda tus datos allí, así que si lo usas desde el Espacio Económico Europeo, el Reino Unido o Suiza, tus datos personales se tratan en Estados Unidos. Los proveedores de servicios que tratan datos personales por cuenta nuestra, que figuran en nuestra página de subencargados, están sujetos a condiciones de protección de datos, y las transferencias a ellos se basan en las cláusulas contractuales tipo de la Comisión Europea o en una garantía equivalente. Para las organizaciones, nuestro Acuerdo de tratamiento de datos incluye las cláusulas contractuales tipo, con el Addendum del Reino Unido y las adaptaciones para Suiza.

Cuánto tiempo los conservamos

• Tu cuenta y su contenido: mientras tengas la cuenta. Eliminar tu cuenta los elimina de inmediato, salvo el contenido que añadiste a un espacio de trabajo de otra persona, que se queda allí para ella sin tu nombre.
• Cuentas inactivas: una cuenta que nadie ha usado durante 12 meses, en ningún dispositivo ni a través de un agente conectado, se elimina junto con su contenido, como si la hubieras eliminado tú. Te enviamos un correo 30 días antes, y usar Done en cualquier momento entre medias conserva la cuenta. Las cuentas con un plan de pago, y las que son propietarias de un espacio de trabajo compartido que sus miembros siguen usando, no se eliminan por inactividad.
• Tareas eliminadas: 30 días en la Papelera y después se eliminan de forma permanente.
• Archivos eliminados: 30 días, como se describe en Dónde se guarda.
• Copias de seguridad de la base de datos: 30 días, así que todo lo eliminado desaparece de las copias de seguridad en un plazo de 30 días.
• Registros de solicitudes que conserva Cloudflare: hasta 7 días.
• Datos de Google Analytics: durante el periodo de conservación configurado en nuestra propiedad de Google Analytics, y nunca más de 14 meses.
• Registros de facturación: los conserva Stripe durante el tiempo que exija la normativa fiscal.

Tus derechos y controles

• Cambia tu elección de cookies en cualquier momento con Configuración de cookies, al pie de cada página.
• Desconecta una cuenta de Google en cualquier momento desde el panel Cuenta; Done borra sus datos y revoca su acceso.
• Revoca tu token MCP en cualquier momento desde el panel Cuenta; los agentes que usen el token anterior pierden el acceso de inmediato.
• Desconecta cualquier app conectada, o desactiva las notificaciones, desde el panel Cuenta.
• Elimina tareas o proyectos individuales, o tu cuenta completa si lo solicitas.
• Contáctanos para solicitar una exportación o la eliminación de tus datos.

Si el RGPD o una ley similar se aplica a tu caso, también tienes derecho a acceder a los datos personales que tenemos sobre ti, a rectificarlos, a que se supriman, a recibir una copia en un formato portable, a limitar su tratamiento o a oponerte a él, y a retirar tu consentimiento en cualquier momento sin que ello afecte a lo ocurrido antes. Para ejercer cualquiera de estos derechos, escribe a support [arroba] trydone.app. Respondemos en el plazo de un mes. También puedes presentar una reclamación ante la autoridad de protección de datos del lugar donde vives o trabajas.

Si tu organización usa Done, puede ser mejor dirigir las solicitudes sobre el contenido de sus espacios de trabajo a la propia organización, que es quien controla esos datos. Le haremos llegar las que recibamos.

Cambios

Done está en acceso anticipado y esta política puede cambiar a medida que cambie el producto. Cuando eso ocurra, actualizaremos la fecha en la parte superior de esta página.