Política de Privacidad

Última actualización: 28 de septiembre de 2026

Calendar Bot es un bot de Telegram desarrollado por Othamae que permite a cada usuario gestionar eventos de su propia cuenta de Google Calendar mediante comandos y mensajes en lenguaje natural enviados voluntariamente al bot. Esta política detalla de manera transparente qué datos de usuario de Google se recopilan o a cuáles se accede, cómo se utilizan, con quién se comparten, cómo se protegen y cómo se conservan o eliminan.

1. Datos de usuario de Google a los que accede la aplicación (What Google User Data is Accessed)

Calendar Bot no accede a ningún dato de la cuenta de Google hasta que el usuario inicia voluntariamente el proceso de conexión y otorga su consentimiento expreso a través del flujo de autorización OAuth 2.0 oficial de Google.

La aplicación solicita exclusivamente el siguiente ámbito o permiso (scope):

• https://www.googleapis.com/auth/calendar.events: permite ver, crear, editar y eliminar eventos en los calendarios a los que el usuario tiene acceso en Google Calendar.

Al otorgar dicho permiso, Calendar Bot accede únicamente a las siguientes categorías específicas de datos de usuario de Google:

• Credenciales de autenticación OAuth 2.0: tokens de acceso (access tokens) y tokens de actualización (refresh tokens), necesarios para mantener la conexión segura y autorizada con la API de Google Calendar sin exigir al usuario que introduzca sus credenciales en cada interacción.
• Datos de eventos de Google Calendar:
  • Título o resumen del evento (summary).
  • Fecha y hora de inicio y finalización del evento (start y end), incluida la zona horaria (timeZone).
  • Reglas de repetición o recurrencia de eventos periódicos (recurrence / RRULE).
  • Identificador único del evento asignado por Google Calendar (eventId), necesario para consultar, editar o eliminar un evento específico.

Las respuestas de Calendar se limitan a esos campos mediante una selección explícita. Además, al crear eventos enviamos a Google las direcciones de asistentes que el usuario haya escrito o configurado. No consultamos las descripciones, ubicaciones ni listas de asistentes de eventos existentes. Las operaciones se realizan sobre el calendario principal.

1.1. Otros datos recopilados por el bot

Para operar dentro de Telegram, el bot trata los siguientes datos:

• ID de usuario de Telegram: identificador numérico necesario para asociar los comandos del chat con la cuenta de Google Calendar vinculada.
• Preferencias del bot: idioma, modo de eventos personales, indicador de edición pendiente y lista de direcciones de correo electrónico predeterminadas que el usuario añade voluntariamente como invitados habituales mediante el comando /addmail. Se guardan en la base de datos.
• Mensajes y comandos enviados al chat: instrucciones de texto enviadas por el usuario (por ejemplo: "Cena mañana a las 21:00" o /events) para procesar la acción requerida. No guardamos un historial de estos textos en la base de datos del bot; Telegram conserva el historial del chat conforme a sus propias condiciones.
• Referencias técnicas temporales: identificadores de eventos pendientes de edición o borrado, códigos de confirmación y referencias de autorización OAuth, con una caducidad máxima de 10 minutos. Los bloqueos técnicos que evitan operaciones simultáneas duran como máximo 2 minutos y normalmente se eliminan al terminar la petición.

2. Cómo utiliza la aplicación los datos de usuario de Google (How We Use Google User Data)

Calendar Bot utiliza los datos de usuario de Google exclusivamente para proporcionar las funciones de gestión de calendario visibles y solicitadas de forma directa por el usuario a través de la interfaz de Telegram:

• Autenticación y mantenimiento de sesión (Tokens OAuth 2.0): los tokens de acceso y actualización se emplean única y exclusivamente para autenticar las llamadas a la API de Google Calendar en nombre del usuario y renovar el acceso de forma segura cuando el token de acceso expira.
• Visualización de eventos: cuando el usuario envía el comando /events, la aplicación consulta la API de Google Calendar para obtener los próximos eventos (hasta un máximo de 10) y mostrarlos con su título, fecha y hora en el chat de Telegram.
• Creación de eventos: cuando el usuario indica un plan (en texto natural o comando), Calendar Bot envía los datos del evento (título, fecha, hora, duración, recurrencia y asistentes configurados) a la API de Google Calendar para crear el evento directamente en su agenda.
• Edición y actualización de eventos: cuando el usuario solicita modificar un evento existente, la aplicación utiliza el identificador del evento para actualizar su título, horario o recurrencia en Google Calendar. La interpretación del mensaje se combina con el evento exclusivamente en el backend. Para cambiar el título, el usuario puede indicar el título nuevo o una sustitución o adición de texto concreta. Las operaciones relativas y las horas ambiguas se resuelven localmente, sin enviar el evento a Gemini.
• Eliminación de eventos: cuando el usuario pulsa el botón interactivo de eliminar o confirma el borrado de un evento, Calendar Bot envía la orden de supresión a Google Calendar utilizando el identificador del evento.

3. Con quién se comparten, transfieren o divulgan los datos de Google (Sharing, Transfer, and Disclosure of Google User Data)

Calendar Bot NO vende, NO alquila, NO comparte, NO transfiere y NO divulga datos de usuario de Google a ninguna empresa, entidad o tercero para fines comerciales ni publicitarios.

Los datos de usuario de Google solo se transmiten en los siguientes supuestos estrictamente necesarios para el funcionamiento técnico del servicio:

• Google Calendar API: las peticiones para consultar, insertar, modificar o borrar eventos se transmiten directamente a los servidores de Google a través de su API oficial autorizada.
• Telegram: recibe los mensajes y las respuestas del bot, incluidos los títulos y horarios mostrados al consultar o confirmar eventos y las direcciones de invitados que se muestran en el chat privado. Estos mensajes pueden permanecer en el historial de Telegram después de borrar los datos del bot.
• Asistentes invitados: Google Calendar envía invitaciones y notificaciones de cambios o cancelaciones a los asistentes del evento. Estos destinatarios reciben información del evento conforme al funcionamiento de Google Calendar. El modo personal evita añadir invitados a nuevos eventos.
• Proveedores de infraestructura técnica (Encargados de tratamiento):
  • Upstash Redis: servicio de base de datos gestionada en la nube donde se almacenan los tokens OAuth, preferencias y referencias temporales cifrados por la aplicación con AES-256-GCM. La clave de cifrado se mantiene en el backend. El ID de Telegram forma parte de las claves de Redis y no está cubierto por este cifrado de contenido. El proveedor también procesa metadatos técnicos del servicio.
  • Vercel: plataforma de computación serverless donde se ejecuta el código del backend de Calendar Bot para atender las peticiones. Durante la ejecución, el backend descifra los datos necesarios en memoria. La plataforma puede procesar metadatos de solicitudes y registros de infraestructura.

Además de las transmisiones descritas, divulgaremos información si fuese estrictamente requerido para cumplir una obligación legal, mandato judicial o requerimiento oficial vinculante de una autoridad competente.

4. Mecanismos de protección y seguridad para datos sensibles (Data Protection Mechanisms for Sensitive Data)

Calendar Bot implementa medidas técnicas y organizativas rigurosas para salvaguardar los datos personales y los datos sensibles de los usuarios de Google frente a pérdidas, accesos no autorizados, alteración o divulgación:

• Cifrado en tránsito (Encryption in transit): todas las comunicaciones entre el usuario y Telegram, entre el backend de Calendar Bot y las APIs de Google Calendar, y entre el backend y la base de datos se realizan mediante canales cifrados. El backend exige HTTPS para Redis, para el registro del webhook y para el retorno OAuth en producción. Las versiones de TLS negociadas dependen de los proveedores.
• Protección y aislamiento del almacenamiento: los tokens de acceso y actualización OAuth 2.0 y los identificadores de usuario se almacenan en Upstash Redis, con autenticación mediante un token REST mantenido en el backend. Los contenidos de los registros se cifran con AES-256-GCM; el ID de Telegram usado como clave de registro permanece visible para la infraestructura. La ubicación, copias de seguridad y controles de la plataforma dependen de la configuración contratada y de las condiciones del proveedor.
• Procesamiento en memoria de los eventos: el backend no guarda títulos, horarios ni recurrencias recuperados de Calendar en la base de datos. Los procesa durante la petición para generar la respuesta. Solo persisten temporalmente los identificadores necesarios para los botones y la edición, cifrados y con caducidad de 10 minutos. Las respuestas enviadas a Telegram quedan sujetas a la conservación del chat.
• Control de acceso estricto y gestión de secretos: las claves de API, secretos de cliente OAuth y credenciales de base de datos se cargan desde variables de entorno del backend. El webhook rechaza peticiones sin el secreto de autenticación correcto y queda inhabilitado si dicho secreto no está configurado. El bot solo procesa operaciones personales en chats privados.
• Tokens temporales de un solo uso: las referencias utilizadas para interactuar con botones de edición o eliminación en Telegram son códigos opacos asociados al usuario, consumidos de forma atómica y con una caducidad máxima de 10 minutos en Redis. Los enlaces OAuth y las confirmaciones de borrado también son de un solo uso. Un error puede requerir iniciar de nuevo la operación.
• Registros de aplicación minimizados: los errores se registran mediante una etiqueta técnica y, cuando existe, un código de estado HTTP. No se incluyen deliberadamente mensajes, contenidos de eventos, credenciales ni objetos completos de error. Los registros automáticos de infraestructura se gestionan conforme a la configuración y condiciones de Vercel y de los demás proveedores.

5. Conservación y eliminación de datos de usuario de Google (Retention and Deletion of Google User Data)

Aplicamos el principio de minimización de datos en cuanto a los periodos de retención y proporcionamos mecanismos directos para que el usuario controle y elimine su información en cualquier momento:

5.1. Plazos y criterios de conservación (Data Retention)

• Tokens de acceso y actualización de Google: se conservan para mantener la vinculación hasta que el usuario elimine sus datos o el bot detecte un error definitivo de autorización. La revocación realizada en Google se detecta durante una operación posterior, no mediante una revisión periódica.
• Datos de eventos de Google Calendar: no se conservan permanentemente. Se consultan en tiempo real a través de la API oficial y no se guardan en la base de datos, salvo los identificadores temporales descritos a continuación. El historial de Telegram tiene su propia conservación.
• Referencias temporales de interacción: los identificadores temporales generados para los botones de confirmación, edición, borrado y OAuth caducan y se eliminan de la base activa automáticamente como máximo a los 10 minutos de su creación. Las referencias usadas se consumen antes de ejecutar la acción.
• Configuración de usuario en Telegram: el ID de usuario de Telegram, el idioma elegido y las direcciones de correo de asistentes predeterminados se conservan hasta que el usuario elimine sus datos mediante /deletedata o solicite la supresión por correo. Revocar el permiso en Google no elimina por sí solo estas preferencias.
• Registros técnicos y copias de seguridad de proveedores: su conservación y eliminación dependen de los plazos y opciones del servicio contratado; el borrado automático del bot actúa sobre la base de datos activa. Para conocer los plazos aplicables a la infraestructura o solicitar su revisión, puede contactar con la persona responsable. No se promete eliminación instantánea de copias de terceros.

5.2. Mecanismos de eliminación y revocación (Data Deletion and Revocation)

• Borrado desde Telegram: el comando /deletedata muestra una confirmación que caduca a los 10 minutos. Al confirmarla, el bot elimina de su base activa los tokens OAuth, el registro del ID de Telegram, las preferencias, los correos configurados y las referencias temporales, e invalida los enlaces OAuth pendientes. Después intenta revocar la autorización en Google. Si no puede confirmar la revocación, lo indica al usuario para que la realice desde su cuenta de Google. Si falla el borrado local, se informa al usuario para que repita la solicitud o contacte por correo. Este comando no borra eventos de Calendar, mensajes de Telegram ni copias recibidas por invitados. Una nueva interacción puede volver a generar referencias técnicas o preferencias; para vincular Google de nuevo es necesario iniciar un nuevo flujo de autorización.
• Revocación directa desde la cuenta de Google: el usuario puede revocar el acceso de Calendar Bot en cualquier momento desde la sección de seguridad de su cuenta de Google en https://myaccount.google.com/permissions . Google aplica la revocación conforme al funcionamiento de su servicio. El bot no recibe una notificación inmediata de este cambio: detecta la revocación cuando una operación posterior devuelve un error definitivo de autorización y entonces elimina sus credenciales almacenadas.
• Solicitud de eliminación directa por correo electrónico: el usuario puede solicitar en cualquier momento la eliminación de todos sus datos almacenados (incluyendo tokens OAuth, ID de Telegram, direcciones de correo configuradas y preferencias) enviando un correo electrónico a: vero.gconesa@gmail.com.
• Plazo de atención de solicitudes por correo: procesaremos las solicitudes de eliminación y eliminaremos los datos correspondientes de la base activa en un plazo máximo de 30 días naturales, salvo que una obligación legal exija conservar información concreta durante más tiempo. Cuando sea posible, confirmaremos la eliminación al usuario por correo electrónico.
• Depuración por errores definitivos de autorización: al detectar una autorización revocada o un token de actualización definitivamente inválido, se eliminan los tokens y las referencias de eventos y OAuth asociadas. Los errores temporales de red o del servicio no causan ese borrado. No hay una eliminación automática de preferencias basada únicamente en la inactividad.

6. Cumplimiento de Uso Limitado de las APIs de Google Workspace (Google Workspace API Limited Use Compliance)

7. Actualizaciones de esta política

Podemos actualizar esta política para reflejar cambios en las funciones del bot o exigencias normativas. Publicaremos siempre la fecha de última actualización al comienzo de esta página. Cualquier modificación sustancial en el tratamiento de datos de Google será comunicada con antelación a los usuarios para recabar su consentimiento si fuese necesario.

8. Contacto y ejercicio de derechos (Contact Us)

Para cualquier duda o consulta sobre esta política de privacidad, o para ejercer sus derechos de acceso, rectificación, cancelación o supresión de sus datos de usuario de Google y del servicio, puede ponerse en contacto en cualquier momento con la persona responsable:

• Responsable: Othamae / Verónica Conesa
• Correo electrónico de contacto: vero.gconesa@gmail.com
• Sitio web: https://othamae.dev