Información legal

Política de privacidad

Última actualización: 26 de octubre de 2026

Qué datos personales trata CurveBook en curvebook.com, curvebook.es y app.curvebook.com, con qué fin, con qué base legal, durante cuánto tiempo y qué derechos tienes, conforme al Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable del tratamiento

En esta política, «CurveBook» designa al responsable del tratamiento.

2. Qué datos trata CurveBook

Los datos de la cuenta son necesarios para usar CurveBook: sin ellos no es posible registrarse. El resto los facilitas tú al usar cada función.

Tu cuenta

• Datos: correo, contraseña (cifrada), idioma, fechas de acceso y dirección IP.
• Finalidad: gestionar tu cuenta y enviarte los correos del servicio (confirmación de la cuenta, cambio de contraseña o de correo).
• Base legal: ejecución del contrato (art. 6.1.b RGPD).
• Plazo: mientras tengas la cuenta. Al eliminarla desde Configuración → Eliminar cuenta se borra al momento.
• Protección contra robots: al entrar, registrarte o recuperar la contraseña en la aplicación, y al enviar los formularios de afiliados y academias de la web, Cloudflare Turnstile analiza datos técnicos de tu navegador (IP, agente de usuario y huella TLS) para comprobar que eres una persona (interés legítimo en proteger el servicio, art. 6.1.f RGPD).

Tu diario de trading

• Datos: cuentas de trading y sus saldos, operaciones, depósitos y retiros, estrategias, notas, reglas y ajustes, ya sea introducidos por ti, importados desde un archivo o recibidos de un conector.
• Finalidad: guardar tu diario y calcular tus estadísticas.
• Base legal: ejecución del contrato (art. 6.1.b RGPD).
• Plazo: mientras tengas la cuenta. Tras eliminarla, desaparece de las copias de seguridad en un máximo de 7 días. La aplicación guarda además una copia en tu navegador para funcionar sin conexión.

Conectores de MetaTrader, NinjaTrader y ATAS

• Datos de la cuenta de trading: número de cuenta, servidor, bróker, titular, divisa y saldo.
• Datos de cada operación cerrada: instrumento, dirección, volumen, precios de entrada y salida, horas, stop, objetivo, resultado, comisiones, swap y comentario.
• Claves de conexión: nombre, primeros caracteres, fecha de creación y de último uso. De la clave, CurveBook solo guarda una huella cifrada, que no permite recuperarla.
• Finalidad: importar tus operaciones de forma automática. El conector no envía contraseñas ni datos bancarios.
• Base legal: ejecución del contrato (art. 6.1.b RGPD).
• Plazo: los datos recibidos se borran de la bandeja de entrada al importarse a tu diario; desde entonces, el mismo que el diario.

Suscripción Pro

• Datos: Stripe recoge tus datos de pago. CurveBook solo recibe los identificadores de cliente y de suscripción, su estado y la fecha de renovación; nunca ve tu tarjeta.
• Finalidad: cobrar y gestionar la suscripción. Stripe actúa como vendedor (Managed Payments) y trata tus datos según su política de privacidad.
• Base legal: ejecución del contrato y cumplimiento de obligaciones fiscales (art. 6.1.b y 6.1.c RGPD).
• Plazo: mientras dure la suscripción y, después, el que exija la normativa fiscal.
• Desistimiento: CurveBook guarda la fecha, los importes pagado y devuelto, los días usados y la huella de la tarjeta que facilita Stripe (nunca su número), para calcular la devolución y evitar desistimientos abusivos (interés legítimo, art. 6.1.f RGPD), durante el plazo legal de conservación de la documentación contable.

Enlace público de resultados (si lo activas)

• Datos: el nombre del enlace (curvebook.com/u/tu-nombre) y lo que elijas mostrar: curva, estadísticas, importes u operaciones. Nunca tus notas, tu correo ni el nombre de tus cuentas.
• Finalidad: mostrar tus resultados a quien tenga el enlace.
• Base legal: consentimiento (art. 6.1.a RGPD), que retiras desactivando el enlace.
• Plazo: mientras el enlace esté activo.

Academias y mentores

• Si eres alumno: la academia ve lo que elijas compartir (curva, estadísticas, importes, últimas operaciones y reglas que más incumples), nunca tus notas, tu correo ni tu contraseña. El director ve a todos los alumnos; cada mentor, solo a los suyos. Finalidad: seguir tu formación. Base legal: consentimiento (art. 6.1.a RGPD), que das al unirte con el código y marcar la casilla, y retiras desactivando «Mostrar mi progreso a la academia» o saliendo de ella. Plazo: mientras sigas en la academia.
• Comentarios: lo que escriben la dirección de la academia y el mentor sobre el diario del alumno, y las respuestas del alumno, con su autor, fecha, si se han leído y, si es el caso, la operación a la que se refieren (fecha, activo, dirección y resultado en R). Los ven solo el alumno, la dirección y su mentor. Finalidad: prestar el modo mentor. Base legal: ejecución del contrato (art. 6.1.b RGPD). Plazo: mientras el alumno siga en la academia; se borran si sale, si la academia lo quita o si se cierra la academia.
• Mensajes del equipo de una academia: lo que se escriben la dirección y cada mentor en su conversación privada, con su autor, fecha y si se ha leído. Pueden mencionar a alumnos de la academia, solo para su formación. Los ven solo la dirección y ese mentor. Finalidad: prestar el modo mentor. Base legal: ejecución del contrato (art. 6.1.b RGPD). Plazo: mientras el mentor siga en el equipo; se borran si deja el equipo o si se cierra la academia.
• Si diriges una academia o eres mentor: correo, nombre visible, código y alumnos asignados, para gestionar la academia, y la versión y la fecha en que la dirección aceptó las Condiciones para academias, como prueba de esa aceptación. Base legal: ejecución del contrato (art. 6.1.b RGPD). Plazo: mientras la academia esté activa o sigas en ella; la aceptación, además, el plazo de prescripción de las acciones que puedan derivarse.

Programa de afiliados

• Si te registras con el enlace de un afiliado: CurveBook guarda su código en tu cuenta para calcular su comisión (interés legítimo, art. 6.1.f RGPD) mientras tengas la cuenta. El afiliado solo ve totales de altas y suscripciones, nunca tus datos.
• Si eres afiliado: nombre, correo, código, canal, altas y comisiones y, para pagarte, nombre o razón social, NIF, dirección fiscal, IBAN y facturas. Base legal: ejecución del contrato y obligaciones fiscales (art. 6.1.b y 6.1.c RGPD). Plazo: mientras seas afiliado y, después, 4 años (normativa tributaria) y 6 años para la documentación contable (Código de Comercio).
• Solicitudes de afiliados y academias: nombre, correo, canal o academia, tamaño de la audiencia y lo que cuentes en la solicitud, para valorar la solicitud (medidas precontractuales, art. 6.1.b RGPD). Plazo: 12 meses si no hay acuerdo.

Comunicaciones

• Mensajes que envías a CurveBook: tu correo y el contenido del mensaje, para responderte (interés legítimo, art. 6.1.f RGPD), hasta 12 meses después de resolver la consulta.
• Novedades (si las pides al eliminar tu cuenta): correo, idioma y fecha de la petición. Base legal: consentimiento (art. 6.1.a RGPD y art. 21 LSSI). Plazo: hasta que te des de baja con el enlace de cada correo.
• Lista de espera (cerrada): correo, idioma y fecha de alta. Base legal: consentimiento (art. 6.1.a RGPD). Plazo: se borra 12 meses después del lanzamiento si no te has registrado.

Navegación y estadísticas de la web

• Registros del servidor: IP, navegador y página solicitada, para servir la web y protegerla de ataques (interés legítimo, art. 6.1.f RGPD), durante el plazo de retención del proveedor de alojamiento.
• Google Analytics (solo si aceptas las cookies de análisis): identificador aleatorio, páginas vistas, duración, web o buscador de procedencia, errores 404, dispositivo, navegador y ubicación aproximada, para medir el uso de la web. Base legal: consentimiento (art. 6.1.a RGPD y art. 22.2 LSSI), que retiras desde la Política de cookies. Plazo: el detalle de cada visita, 2 meses; el identificador de visitante, 14 meses desde tu última visita.

CurveBook no vende tus datos, no los usa para publicidad y no elabora perfiles ni toma decisiones automatizadas sobre ti.

3. Destinatarios

Solo acceden a tus datos los proveedores necesarios para prestar el servicio. Actúan como encargados del tratamiento, con contrato, salvo en dos casos: Stripe, que vende la suscripción y trata tus datos de pago como responsable, y Cloudflare, que además de detectar robots por cuenta de CurveBook usa esos datos como responsable para mejorar su sistema de detección (anexo de privacidad de Turnstile).

Cuando un proveedor trata datos fuera del Espacio Económico Europeo, lo hace con las garantías del RGPD: el Marco de Privacidad de Datos UE-EE. UU. o las cláusulas contractuales tipo de la Comisión Europea. CurveBook solo comunica datos a autoridades o tribunales cuando la ley lo exige.

4. Tus derechos

Puedes ejercer tus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad, y retirar tu consentimiento en cualquier momento, escribiendo a privacy@curvebook.com desde el correo afectado. CurveBook responde en un plazo máximo de un mes y, si hay dudas razonables sobre tu identidad, puede pedirte que la acredites.

Desde la aplicación puedes descargar tu diario (Configuración → Exportar mis datos) y eliminar tu cuenta (Configuración → Eliminar cuenta) sin enviar ninguna solicitud.

Si consideras que CurveBook no ha atendido tus derechos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).

5. Edad mínima

CurveBook es solo para mayores de 18 años y elimina las cuentas de menores que detecta.

6. Seguridad

Conexión cifrada (HTTPS), contraseñas y claves de conexión guardadas cifradas, reglas en la base de datos para que cada usuario solo pueda leer y modificar sus propios datos, captcha contra registros y envíos automáticos y verificación en dos pasos en todas las herramientas de gestión del servicio.

7. Cambios

CurveBook publica aquí cada nueva versión con su fecha y, si el cambio es relevante, te avisa por correo.

Legal information

Privacy policy

Last updated: 26 October 2026

This English version is provided for convenience. If there is any discrepancy, the Spanish version prevails.

What personal data CurveBook processes on curvebook.com, curvebook.es and app.curvebook.com, for what purpose, on what legal basis, for how long and what rights you have, under the General Data Protection Regulation (GDPR) and Spanish Organic Law 3/2018 (LOPDGDD).

1. Data controller

In this policy, "CurveBook" means the data controller.

2. What data CurveBook processes

Account data is required to use CurveBook: without it you cannot sign up. You provide everything else when you use each feature.

Your account

• Data: email, password (encrypted), language, sign-in dates and IP address.
• Purpose: to manage your account and send you service emails (account confirmation, password or email change).
• Legal basis: performance of the contract (GDPR art. 6.1.b).
• Retention: while you have the account. Deleting it from Settings → Delete account erases it immediately.
• Bot protection: when you sign in, sign up or reset your password in the application, and when you send the affiliate and academy forms on the website, Cloudflare Turnstile analyses technical data from your browser (IP, user agent and TLS fingerprint) to check that you are a person (legitimate interest in protecting the service, GDPR art. 6.1.f).

Your trading journal

• Data: trading accounts and their balances, trades, deposits and withdrawals, strategies, notes, rules and settings, whether entered by you, imported from a file or received from a connector.
• Purpose: to store your journal and calculate your statistics.
• Legal basis: performance of the contract (GDPR art. 6.1.b).
• Retention: while you have the account. After you delete it, it disappears from backups within 7 days. The application also keeps a copy in your browser so it works offline.

MetaTrader, NinjaTrader and ATAS connectors

• Trading account data: account number, server, broker, holder, currency and balance.
• Data for each closed trade: instrument, direction, volume, entry and exit prices, times, stop, target, result, commissions, swap and comment.
• Connection keys: name, first characters, creation and last-use dates. CurveBook only stores an encrypted fingerprint of the key, which cannot be used to recover it.
• Purpose: to import your trades automatically. The connector does not send passwords or banking data.
• Legal basis: performance of the contract (GDPR art. 6.1.b).
• Retention: data received is removed from the inbox once imported into your journal; from then on, the same as the journal.

Pro subscription

• Data: Stripe collects your payment details. CurveBook only receives the customer and subscription identifiers, their status and the renewal date; it never sees your card.
• Purpose: to charge and manage the subscription. Stripe acts as the seller (Managed Payments) and processes your data under its privacy policy.
• Legal basis: performance of the contract and compliance with tax obligations (GDPR art. 6.1.b and 6.1.c).
• Retention: for the duration of the subscription and, afterwards, as required by tax law.
• Withdrawal: CurveBook keeps the date, the amounts paid and refunded, the days used and the card fingerprint provided by Stripe (never its number), to calculate the refund and prevent abusive withdrawals (legitimate interest, GDPR art. 6.1.f), for the legal retention period for accounting records.

Public results link (if you turn it on)

• Data: the link name (curvebook.com/u/your-name) and what you choose to show: curve, statistics, amounts or trades. Never your notes, your email or your account names.
• Purpose: to show your results to anyone with the link.
• Legal basis: consent (GDPR art. 6.1.a), which you withdraw by turning the link off.
• Retention: while the link is active.

Academies and mentors

• If you are a student: the academy sees what you choose to share (curve, statistics, amounts, latest trades and the rules you break most), never your notes, email or password. The director sees all students; each mentor, only their own. Purpose: to follow your training. Legal basis: consent (GDPR art. 6.1.a), given when you join with the code and tick the box, and withdrawn by turning off "Show my progress to the academy" or leaving it. Retention: while you remain in the academy.
• Comments: what the academy's management and the mentor write about the student's journal, and the student's replies, with their author, date, whether they have been read and, where applicable, the trade they refer to (date, asset, direction and R result). Only the student, the management and their mentor see them. Purpose: to provide mentor mode. Legal basis: performance of the contract (GDPR art. 6.1.b). Retention: while the student remains in the academy; they are deleted if the student leaves, is removed or the academy is closed.
• An academy's team messages: what the management and each mentor write to each other in their private conversation, with their author, date and whether they have been read. They may mention students of the academy, only for their training. Only the management and that mentor see them. Purpose: to provide mentor mode. Legal basis: performance of the contract (GDPR art. 6.1.b). Retention: while the mentor remains in the team; they are deleted if the mentor leaves the team or the academy is closed.
• If you run an academy or are a mentor: email, display name, code and assigned students, to manage the academy, and the version and date on which the management accepted the Terms for academies, as proof of that acceptance. Legal basis: performance of the contract (GDPR art. 6.1.b). Retention: while the academy is active or you remain in it; for the acceptance, also the limitation period for any claims that may arise.

Affiliate programme

• If you sign up through an affiliate link: CurveBook stores the affiliate's code in your account to calculate their commission (legitimate interest, GDPR art. 6.1.f) while you have the account. The affiliate only sees totals of sign-ups and subscriptions, never your data.
• If you are an affiliate: name, email, code, channel, sign-ups and commissions and, to pay you, name or company name, tax ID, tax address, IBAN and invoices. Legal basis: performance of the contract and tax obligations (GDPR art. 6.1.b and 6.1.c). Retention: while you are an affiliate and, afterwards, 4 years (tax law) and 6 years for accounting records (Spanish Commercial Code).
• Affiliate and academy applications: name, email, channel or academy, audience size and anything you include in the application, to assess the application (pre-contractual steps, GDPR art. 6.1.b). Retention: 12 months if no agreement is reached.

Communications

• Messages you send to CurveBook: your email and the message content, to reply to you (legitimate interest, GDPR art. 6.1.f), for up to 12 months after the query is resolved.
• News (if you ask for it when deleting your account): email, language and request date. Legal basis: consent (GDPR art. 6.1.a and art. 21 LSSI). Retention: until you unsubscribe using the link in each email.
• Waitlist (closed): email, language and sign-up date. Legal basis: consent (GDPR art. 6.1.a). Retention: deleted 12 months after launch if you have not signed up.

Browsing and website statistics

• Server logs: IP, browser and requested page, to serve the website and protect it from attacks (legitimate interest, GDPR art. 6.1.f), for the hosting provider's retention period.
• Google Analytics (only if you accept analytics cookies): random identifier, pages viewed, duration, referring website or search engine, 404 errors, device, browser and approximate location, to measure website usage. Legal basis: consent (GDPR art. 6.1.a and art. 22.2 LSSI), which you withdraw from the Cookie policy. Retention: details of each visit, 2 months; visitor identifier, 14 months from your last visit.

CurveBook does not sell your data, use it for advertising, profile you or make automated decisions about you.

3. Recipients

Only the providers needed to run the service have access to your data. They act as data processors under contract, with two exceptions: Stripe, which sells the subscription and processes your payment data as a controller, and Cloudflare, which besides detecting bots on CurveBook's behalf uses that data as a controller to improve its detection system (Turnstile privacy addendum).

When a provider processes data outside the European Economic Area, it does so with the safeguards required by the GDPR: the EU-US Data Privacy Framework or the European Commission's standard contractual clauses. CurveBook only discloses data to authorities or courts when required by law.

4. Your rights

You can exercise your rights of access, rectification, erasure, objection, restriction of processing and portability, and withdraw your consent at any time, by emailing privacy@curvebook.com from the email concerned. CurveBook replies within one month and, if there are reasonable doubts about your identity, may ask you to confirm it.

From the application you can download your journal (Settings → Export my data) and delete your account (Settings → Delete account) without sending any request.

If you believe CurveBook has not respected your rights, you can file a complaint with the Spanish Data Protection Agency (www.aepd.es).

5. Minimum age

CurveBook is only for people aged 18 or over and deletes any account belonging to a minor that it detects.

6. Security

Encrypted connection (HTTPS), passwords and connection keys stored encrypted, database rules so each user can only read and modify their own data, a captcha against automated sign-ups and submissions and two-step verification on all the tools used to run the service.

7. Changes

CurveBook publishes each new version here with its date and, if the change is significant, notifies you by email.