This policy explains what information QR Crab collects, why, who helps us handle it, and the choices you have. It covers people with a QR Crab account and people who scan codes made with QR Crab.
In short: we collect what we need to run the service and to see which of our ads work. We don't store the IP addresses of people who scan codes, we only use advertising cookies on our own website if you accept them (never on hosted pages or scans), we don't show ads, and we don't sell personal information.
1. Who we are
QR Crab is operated by , in the United States. For account information we are responsible for your data. For information a business collects from its own customers through QR Crab (see section 3), that business is responsible and we process it on its behalf. Contact: support@qrcrab.com.
2. What we collect
Your account
Your email address and whether you've confirmed it.
Your password, stored only as a salted hash (PBKDF2); we can't read it.
Your preferred language.
If you choose to tell us when you sign up: your business name and how you found us. Both are optional; we use them to understand who uses QR Crab and which channels bring people to us.
How you first arrived on our website before signing up: the campaign tags in that link, if any (utm_source, utm_medium, utm_campaign, utm_content and utm_term, for example “facebook” and a campaign name), the first page you saw and the name of the website that sent you (for example www.google.com). Your browser keeps this in local storage for up to 30 days and sends it with your sign-up, and we store it with your account to see which ads and channels bring sign-ups. It doesn't use cookies, isn't shared with anyone, and doesn't depend on the cookie banner.
If you subscribe: your Stripe customer and subscription IDs, plan, billing period and subscription status. Your card details go to Stripe, not to us.
What you create
Your QR codes and their settings, destinations and page content.
Files you upload (images, PDFs, videos and so on). While the code that uses them is on, they're public to anyone with the code's link (behind its password, if it has one). Files not used in a saved code, or whose code is switched off, are visible only to you.
Visits to our website
We use Cloudflare Web Analytics to count visits to our website and dashboard: which pages are viewed, the referring site, the country, the device and browser type, and how fast pages load. It's cookieless: it doesn't use cookies or local storage, and it doesn't identify or follow individual visitors. Hosted pages and scans aren't part of it.
Ad measurement (only if you accept)
Our website shows a cookie banner. Only if you choose Accept do we load the Meta Pixel (Meta Platforms) and Google Ads conversion tracking (Google). They set cookies in your browser and tell Meta and Google which pages of our website you visit and whether you signed up or bought a plan (with the price and an order number), so we can see which of our ads lead to sign-ups and sales. Meta and Google may link this to an account you have with them, under their own privacy policies. If you choose Decline, or don't choose, they aren't loaded at all. They're never used on hosted pages, on scans or in our emails. You can change your choice any time with the “Cookie settings” link at the bottom of our pages or on the Account page (see section 6).
Scans of trackable codes
When someone scans one of your trackable codes, we record:
the time of the scan and which code was scanned;
an approximate location (country, region and city) that Cloudflare derives from the connection;
the device type, operating system and browser, worked out from the browser's user-agent;
the referring page, if the browser sends one, and whether the visit looks like a bot;
a visitor hash: a short one-way hash of the IP address and user-agent, mixed with a secret salt and the date. It changes every day, so it can count unique visitors within a day but can't be reversed or used to follow someone across days.
We don't store IP addresses with scans.
To keep stats meaningful and automated traffic out, some scans aren't recorded at all: a repeat scan of the same code by the same visitor within 30 minutes, scans beyond 120 an hour from one IP address (or IPv6 network), and bot visits beyond 200 per code per day. These scans still open the code's destination.
Forms, reviews and coupons (collected for our customers)
If a code includes a feedback form, a review request or a coupon, we store what the person submits for the business that made the code: for example a star rating, a message, a category, a name, an email or phone number, whether they agreed to be contacted, and the coupon code they received, along with the daily visitor hash.
Security and abuse prevention
To stop brute-force, spam and automated traffic (for example repeated log-in or sign-up attempts, password guesses on a protected code, mass code creation or unusually many scans from one connection), we briefly record the IP address or email address involved in a rate-limit counter. These records are deleted after about a day.
Reports of harmful codes
If you report a code with our report form, we store the code, the reason you picked, the details you write, the time and, only if you give it, your email address, so we can review the report and follow up with you. We don't store your IP address with the report.
3. If you scanned a QR code
If you scanned a code made with QR Crab, the business or person who made it is the one you're dealing with. When you scan, we record the details listed under “Scans of trackable codes” above (time, approximate location, device, operating system, browser and a daily-rotating visitor hash, but not your IP address) and show them to the code's owner as statistics. Scans of static link codes (web links, social links and map locations) pass through our servers to reach their fixed destination; we only count them in aggregate (a total per code and a platform-wide daily total) and store no IP address and no per-scan record. Other static codes (such as Wi-Fi, contacts, text, email, phone, SMS, events and Bitcoin) don't pass through QR Crab at all, so nothing is recorded.
If you fill in a form, leave a rating or claim a coupon, what you enter is shared with the business that made the code. That business controls that information and decides how it's used; contact it directly with questions or requests. We keep it only to provide the service to that business, and we don't use it to contact you or sell it. If you can't reach the business, write to us and we'll pass your request on.
Hosted pages don't show ads, don't use tracking or advertising cookies, and only set a cookie if you unlock a password-protected code or claim a coupon (see section 6).
4. Why we use it
To run the service: sign you in, host your codes and pages, show your stats and responses, and enforce plan limits.
To bill you through Stripe when you subscribe.
To learn which ads and channels bring sign-ups and sales: the sign-up attribution stored with your account, cookieless visit counts, and, only if you accept them, the Meta and Google ad cookies.
To send account emails: confirming your address, resetting your password and, only if you turn it on in your account, a weekly summary of your codes' scans (each summary has a one-click unsubscribe link). We don't send marketing emails.
To keep the service safe: preventing abuse, investigating reports and disabling harmful codes.
To meet legal obligations, such as tax and accounting records.
Where laws like the GDPR apply, our legal bases are performing our contract with you, our legitimate interest in keeping the service secure and working and in understanding which channels bring us customers (sign-up attribution and cookieless visit counts), your consent for the ad cookies, and compliance with the law.
5. Who helps us
We share information only with the service providers we need, and only for the purposes above:
Cloudflare hosts the site, the database and uploaded files (Workers, D1 and R2) and delivers every request, including scans. It supplies the approximate location of each scan and runs our cookieless Web Analytics.
Stripe processes payments and manages subscriptions, including your card and billing details.
Resend delivers our account emails, so it receives your email address and the message.
Meta (Meta Pixel) and Google (Google Ads), only if you accept ad cookies on our website: they receive the ad-measurement data described in section 2.
We may also disclose information if the law requires it, or to protect people from fraud or harm. We don't sell or rent personal information, and apart from the ad cookies you can choose to accept, we don't share it for advertising.
6. Cookies and local storage
qr_session: keeps you logged in (up to 30 days, or until you log out).
qr_lang: remembers your language choice so pages and emails use it.
On hosted pages only when you use these features: a cookie that keeps a password-protected code unlocked for 12 hours, and one that remembers a coupon you claimed for 90 days, so you see the same code again.
Local storage in your browser keeps your theme (light or dark) and language choice, your answer to the cookie banner (qr-ad-consent, for 12 months), how you first arrived on our website (qr-attribution, up to 30 days; see section 2) and, briefly, a sign-up or purchase waiting to be reported to the ad networks if you accepted ad cookies.
Only if you accept ad cookies: the Meta Pixel sets _fbp (and _fbc when you arrive from a Meta ad), and Google Ads sets _gcl_au (and _gcl_aw when you arrive from a Google ad). They last up to 90 days and are set on our website only. Meta's and Google's own sites may also read their cookies, under their policies.
Without your consent we don't use advertising or tracking cookies, and our visit counts (Cloudflare Web Analytics) never use cookies. To change your choice, use Cookie settings at the bottom of our pages or on the Account page: it shows the banner again. If you switch to Decline, we stop loading the Meta and Google tags and delete their cookies from our website.
7. How long we keep it
Account information, codes, uploads, scan records, form responses and coupon claims: for as long as your account exists, or until you delete them. Your plan controls how far back your stats go in the dashboard, not how long we keep them. Sign-up attribution is part of your account information.
Deleting a code removes its scans, responses and claims. Deleting your account removes everything listed above.
Unfinished uploads and files no longer attached to a code: removed after about a day.
Sessions: up to 30 days. Password-reset and confirmation links expire and are then deleted. Rate-limit records: about a day.
Abuse reports: until we've handled them; reports we close are deleted 90 days later. They aren't deleted with the reported code, so we keep a record of abuse.
Deleted data may remain in our hosting provider's database backups for up to 30 days before it's gone for good.
Stripe keeps payment records as required for tax and accounting, under its own policies.
8. Your choices and rights
Access and correction: you can see and change your codes, content and language in the dashboard. For a copy of your account data or to change your email address, write to support.
Ad cookies: they're off unless you accept them, and you can withdraw your consent any time with “Cookie settings” (bottom of our pages, or the Account page).
Deletion: you can delete your account yourself on the Account page. This cancels any subscription and permanently deletes your codes, uploads, stats, responses and claims (printed trackable codes stop working). You can also ask us by email.
Depending on where you live, you may have further rights, such as objecting to or restricting processing, data portability, or complaining to your data protection authority. Email support@qrcrab.com and we'll respond within 30 days. We may need to confirm you own the account first.
9. Security
Connections use HTTPS, passwords are hashed, session cookies are HTTP-only, and access to our systems is limited. No service can be perfectly secure, but we'll tell affected users promptly if a breach puts their information at risk.
10. Children
QR Crab accounts are for people 13 and older (under 18 with a parent's or guardian's consent). We don't knowingly collect information from children under 13. If you think a child under 13 has an account, email us and we'll delete it.
11. International transfers
QR Crab is run from the United States. Cloudflare serves requests from data centers around the world, and our data is stored and processed in the United States and wherever our providers operate. If you use QR Crab from outside the US, your information will be transferred there.
12. Changes to this policy
We'll update this policy when the service changes. We'll change the date at the top and, for important changes, email account holders before they take effect.
Esta es una traducción para tu comodidad. Si hay diferencias entre esta versión y la versión en inglés, la versión en inglés es la que rige.
Esta política explica qué información recopila QR Crab, para qué, quién nos ayuda a manejarla y qué opciones tienes. Se aplica a las personas con una cuenta de QR Crab y a quienes escanean códigos creados con QR Crab.
En resumen: recopilamos lo necesario para dar el servicio y para saber cuáles de nuestros anuncios funcionan. No guardamos las direcciones IP de quienes escanean códigos, solo usamos cookies de publicidad en nuestro sitio web si las aceptas (nunca en las páginas alojadas ni en los escaneos), no mostramos anuncios y no vendemos información personal.
1. Quiénes somos
QR Crab es operado por , en Estados Unidos. Somos responsables de la información de tu cuenta. De la información que un negocio recopila de sus propios clientes a través de QR Crab (ver la sección 3) es responsable ese negocio, y nosotros la procesamos en su nombre. Contacto: support@qrcrab.com.
2. Qué recopilamos
Tu cuenta
Tu correo electrónico y si lo confirmaste.
Tu contraseña, guardada solo como un hash con sal (PBKDF2); no podemos leerla.
Tu idioma preferido.
Si decides decírnoslo al registrarte: el nombre de tu negocio y cómo nos encontraste. Ambos son opcionales; los usamos para entender quién usa QR Crab y qué canales nos traen usuarios.
Cómo llegaste por primera vez a nuestro sitio web antes de registrarte: las etiquetas de campaña de ese enlace, si las tenía (utm_source, utm_medium, utm_campaign, utm_content y utm_term, por ejemplo “facebook” y el nombre de una campaña), la primera página que viste y el nombre del sitio web que te envió (por ejemplo, www.google.com). Tu navegador lo guarda en el almacenamiento local hasta 30 días y lo envía con tu registro, y nosotros lo guardamos con tu cuenta para saber qué anuncios y canales nos traen registros. No usa cookies, no se comparte con nadie y no depende del aviso de cookies.
Si te suscribes: tus identificadores de cliente y de suscripción en Stripe, tu plan, tu periodo de facturación y el estado de tu suscripción. Los datos de tu tarjeta van a Stripe, no a nosotros.
Lo que creas
Tus códigos QR y su configuración, sus destinos y el contenido de sus páginas.
Los archivos que subes (imágenes, PDF, videos, etc.). Mientras el código que los usa está activo, son públicos para cualquiera que tenga el enlace del código (detrás de su contraseña, si tiene una). Los archivos que no usa ningún código guardado, o cuyo código está desactivado, solo los ves tú.
Visitas a nuestro sitio web
Usamos Cloudflare Web Analytics para contar las visitas a nuestro sitio web y al panel: qué páginas se ven, el sitio de origen, el país, el tipo de dispositivo y de navegador, y qué tan rápido cargan las páginas. No usa cookies ni almacenamiento local, y no identifica ni sigue a cada visitante. Las páginas alojadas y los escaneos no forman parte de esto.
Medición de anuncios (solo si aceptas)
Nuestro sitio web muestra un aviso de cookies. Solo si eliges Aceptar cargamos el píxel de Meta (Meta Platforms) y el seguimiento de conversiones de Google Ads (Google). Estos guardan cookies en tu navegador y les dicen a Meta y a Google qué páginas de nuestro sitio web visitas y si te registraste o compraste un plan (con el precio y un número de pedido), para que sepamos cuáles de nuestros anuncios traen registros y ventas. Meta y Google pueden vincular estos datos con una cuenta que tengas con ellos, según sus propias políticas de privacidad. Si eliges Rechazar, o no eliges nada, no se cargan en absoluto. Nunca se usan en las páginas alojadas, en los escaneos ni en nuestros correos. Puedes cambiar tu elección cuando quieras con el enlace “Configuración de cookies” al final de nuestras páginas o en la página Cuenta (ver la sección 6).
Escaneos de códigos rastreables
Cuando alguien escanea uno de tus códigos rastreables, registramos:
la hora del escaneo y qué código se escaneó;
una ubicación aproximada (país, región y ciudad) que Cloudflare obtiene de la conexión;
el tipo de dispositivo, el sistema operativo y el navegador, deducidos del user-agent del navegador;
la página de origen, si el navegador la envía, y si la visita parece de un bot;
un hash de visitante: un hash corto y de un solo sentido de la dirección IP y el user-agent, combinado con una sal secreta y la fecha. Cambia cada día, así que sirve para contar visitantes únicos en un día, pero no se puede revertir ni usar para seguir a alguien de un día a otro.
No guardamos direcciones IP con los escaneos.
Para que las estadísticas sean útiles y dejar fuera el tráfico automatizado, algunos escaneos no se registran: un escaneo repetido del mismo código por el mismo visitante en menos de 30 minutos, los escaneos que pasen de 120 por hora desde una misma dirección IP (o red IPv6) y las visitas de bots que pasen de 200 por código al día. Esos escaneos igual abren el destino del código.
Formularios, reseñas y cupones (recopilados para nuestros clientes)
Si un código incluye un formulario de comentarios, una solicitud de reseña o un cupón, guardamos lo que la persona envía para el negocio que creó el código: por ejemplo, una calificación con estrellas, un mensaje, una categoría, un nombre, un correo o teléfono, si aceptó que la contacten y el código de cupón que recibió, junto con el hash de visitante del día.
Seguridad y prevención de abusos
Para frenar ataques de fuerza bruta, spam y tráfico automatizado (por ejemplo, intentos repetidos de iniciar sesión o crear cuentas, intentos de adivinar la contraseña de un código protegido, la creación masiva de códigos o una cantidad inusual de escaneos desde una misma conexión), registramos brevemente la dirección IP o el correo en un contador de límites. Estos registros se borran después de aproximadamente un día.
Reportes de códigos dañinos
Si reportas un código con nuestro formulario de reportes, guardamos el código, el motivo que elegiste, los detalles que escribas, la hora y, solo si nos lo das, tu correo electrónico, para poder revisar el reporte y darte seguimiento. No guardamos tu dirección IP con el reporte.
3. Si escaneaste un código QR
Si escaneaste un código creado con QR Crab, tu relación es con el negocio o la persona que lo creó. Cuando escaneas, registramos los datos descritos arriba en “Escaneos de códigos rastreables” (hora, ubicación aproximada, dispositivo, sistema operativo, navegador y un hash de visitante que cambia cada día, pero no tu dirección IP) y se los mostramos al dueño del código como estadísticas. Los escaneos de códigos estáticos de enlace (enlaces web, enlaces de redes sociales y ubicaciones de mapas) pasan por nuestros servidores para llegar a su destino fijo; solo los contamos en conjunto (un total por código y un total diario de toda la plataforma) y no guardamos direcciones IP ni registros de cada escaneo. Los demás códigos estáticos (como Wi-Fi, contactos, texto, correo, teléfono, SMS, eventos y Bitcoin) no pasan por QR Crab, así que no se registra nada.
Si llenas un formulario, dejas una calificación o reclamas un cupón, lo que escribes se comparte con el negocio que creó el código. Ese negocio controla esa información y decide cómo se usa; comunícate directamente con él si tienes preguntas o solicitudes. Nosotros la guardamos solo para dar el servicio a ese negocio, y no la usamos para contactarte ni la vendemos. Si no logras comunicarte con el negocio, escríbenos y le haremos llegar tu solicitud.
Las páginas alojadas no muestran anuncios, no usan cookies de rastreo ni de publicidad y solo guardan una cookie si desbloqueas un código protegido con contraseña o reclamas un cupón (ver la sección 6).
4. Para qué lo usamos
Para dar el servicio: iniciar tu sesión, alojar tus códigos y páginas, mostrarte tus estadísticas y respuestas, y aplicar los límites de tu plan.
Para cobrarte a través de Stripe cuando te suscribes.
Para saber qué anuncios y canales nos traen registros y ventas: el origen del registro guardado con tu cuenta, el conteo de visitas sin cookies y, solo si las aceptas, las cookies de publicidad de Meta y Google.
Para enviarte correos de tu cuenta: confirmar tu dirección, restablecer tu contraseña y, solo si lo activas en tu cuenta, un resumen semanal de los escaneos de tus códigos (cada resumen tiene un enlace para darte de baja con un clic). No enviamos correos de marketing.
Para mantener seguro el servicio: prevenir abusos, investigar denuncias y desactivar códigos dañinos.
Para cumplir obligaciones legales, como los registros fiscales y contables.
Donde apliquen leyes como el RGPD, nuestras bases legales son cumplir nuestro contrato contigo, nuestro interés legítimo en mantener el servicio seguro y funcionando y en entender qué canales nos traen clientes (el origen del registro y el conteo de visitas sin cookies), tu consentimiento para las cookies de publicidad, y el cumplimiento de la ley.
5. Quién nos ayuda
Solo compartimos información con los proveedores que necesitamos y solo para los fines anteriores:
Cloudflare aloja el sitio, la base de datos y los archivos subidos (Workers, D1 y R2) y entrega cada solicitud, incluidos los escaneos. También proporciona la ubicación aproximada de cada escaneo y opera nuestro Web Analytics sin cookies.
Stripe procesa los pagos y administra las suscripciones, incluidos los datos de tu tarjeta y de facturación.
Resend entrega los correos de tu cuenta, así que recibe tu correo electrónico y el mensaje.
Meta (píxel de Meta) y Google (Google Ads), solo si aceptas las cookies de publicidad en nuestro sitio web: reciben los datos de medición de anuncios descritos en la sección 2.
También podemos revelar información si la ley lo exige, o para proteger a las personas de fraudes o daños. No vendemos ni alquilamos información personal y, aparte de las cookies de publicidad que puedes decidir aceptar, no la compartimos con fines publicitarios.
6. Cookies y almacenamiento local
qr_session: mantiene tu sesión iniciada (hasta 30 días o hasta que cierres sesión).
qr_lang: recuerda el idioma que elegiste para que las páginas y los correos lo usen.
En las páginas alojadas, solo cuando usas estas funciones: una cookie que mantiene desbloqueado un código protegido con contraseña durante 12 horas y otra que recuerda un cupón que reclamaste durante 90 días, para que veas el mismo código otra vez.
El almacenamiento local de tu navegador guarda tu tema (claro u oscuro) y tu idioma, tu respuesta al aviso de cookies (qr-ad-consent, durante 12 meses), cómo llegaste por primera vez a nuestro sitio web (qr-attribution, hasta 30 días; ver la sección 2) y, por poco tiempo, un registro o una compra pendiente de informar a las redes de anuncios si aceptaste las cookies de publicidad.
Solo si aceptas las cookies de publicidad: el píxel de Meta guarda _fbp (y _fbc cuando llegas desde un anuncio de Meta), y Google Ads guarda _gcl_au (y _gcl_aw cuando llegas desde un anuncio de Google). Duran hasta 90 días y se guardan solo en nuestro sitio web. Los sitios de Meta y Google también pueden leer sus propias cookies, según sus políticas.
Sin tu consentimiento no usamos cookies de publicidad ni de rastreo, y nuestro conteo de visitas (Cloudflare Web Analytics) nunca usa cookies. Para cambiar tu elección, usa Configuración de cookies al final de nuestras páginas o en la página Cuenta: vuelve a mostrar el aviso. Si cambias a Rechazar, dejamos de cargar las etiquetas de Meta y Google y borramos sus cookies de nuestro sitio web.
7. Cuánto tiempo lo guardamos
La información de la cuenta, los códigos, los archivos, los registros de escaneos, las respuestas de formularios y los cupones reclamados: mientras exista tu cuenta o hasta que los elimines. Tu plan define hasta qué fecha puedes ver tus estadísticas en el panel, no cuánto tiempo las guardamos. El origen del registro forma parte de la información de tu cuenta.
Eliminar un código borra sus escaneos, respuestas y cupones reclamados. Eliminar tu cuenta borra todo lo anterior.
Las subidas incompletas y los archivos que ya no están vinculados a un código se borran después de aproximadamente un día.
Sesiones: hasta 30 días. Los enlaces para restablecer la contraseña y de confirmación vencen y luego se borran. Registros de límites: aproximadamente un día.
Reportes de abuso: hasta que los atendemos; los reportes que cerramos se borran 90 días después. No se borran junto con el código reportado, para conservar un registro de los abusos.
Los datos eliminados pueden permanecer en las copias de seguridad de la base de datos de nuestro proveedor de alojamiento hasta 30 días antes de desaparecer por completo.
Stripe conserva los registros de pago que exigen las normas fiscales y contables, según sus propias políticas.
8. Tus opciones y derechos
Acceso y corrección: puedes ver y cambiar tus códigos, tu contenido y tu idioma en el panel. Para obtener una copia de los datos de tu cuenta o cambiar tu correo electrónico, escribe a soporte.
Cookies de publicidad: están desactivadas a menos que las aceptes, y puedes retirar tu consentimiento cuando quieras con “Configuración de cookies” (al final de nuestras páginas o en la página Cuenta).
Eliminación: puedes eliminar tu cuenta tú mismo en la página Cuenta. Esto cancela cualquier suscripción y borra para siempre tus códigos, archivos, estadísticas, respuestas y cupones reclamados (los códigos rastreables impresos dejan de funcionar). También puedes pedírnoslo por correo.
Según el lugar donde vivas, puedes tener otros derechos, como oponerte al tratamiento o limitarlo, la portabilidad de los datos o presentar una queja ante tu autoridad de protección de datos. Escribe a support@qrcrab.com y te responderemos en un plazo de 30 días. Es posible que primero debamos confirmar que la cuenta es tuya.
9. Seguridad
Las conexiones usan HTTPS, las contraseñas se guardan como hash, las cookies de sesión son HTTP-only y el acceso a nuestros sistemas es limitado. Ningún servicio es perfectamente seguro, pero avisaremos pronto a los usuarios afectados si una filtración pone en riesgo su información.
10. Menores
Las cuentas de QR Crab son para personas de 13 años o más (las menores de 18, con el consentimiento de su madre, padre o tutor). No recopilamos a sabiendas información de menores de 13 años. Si crees que un menor de 13 años tiene una cuenta, escríbenos y la eliminaremos.
11. Transferencias internacionales
QR Crab se opera desde Estados Unidos. Cloudflare atiende las solicitudes desde centros de datos de todo el mundo, y nuestros datos se guardan y procesan en Estados Unidos y donde operen nuestros proveedores. Si usas QR Crab desde fuera de EE. UU., tu información se transferirá allí.
12. Cambios a esta política
Actualizaremos esta política cuando cambie el servicio. Cambiaremos la fecha de arriba y, si los cambios son importantes, avisaremos por correo a los titulares de cuentas antes de que entren en vigor.
13. Contacto
¿Tienes preguntas o solicitudes sobre privacidad? Escribe a support@qrcrab.com.
