Política de privacidad

Versión de [fecha]. ⚠️ [Jurista: fijar la fecha.] 1. Quién es el responsable [Nombre completo o razón social del responsable], con domicilio en [dirección] y número de identificación [NIF o registro]. Contacto para cuestiones de privacidad: [email protected]. ⚠️ [Jurista: el responsable está en Brasil y ofrece el servicio en la UE. Confirmar la obligación de designar un representante en la UE (artículo 27 del RGPD) y si hace falta un delegado de protección de datos.] 2. Los dos papeles de Provado - Datos de la cuenta de la agencia (correo, contraseña, marca y pago): Provado es el responsable del tratamiento. - Contenidos de las webs de los clientes de la agencia (imágenes, HTML e informes): Provado los trata por cuenta de la agencia, que es la responsable. Quien quiera ejercer sus derechos sobre estos contenidos debe dirigirse a la agencia; nosotros ayudamos a la agencia a responder. ⚠️ [Jurista: confirmar este reparto de papeles y formalizarlo en el contrato de encargo del tratamiento.] 3. Qué datos tratamos - Cuenta: correo, contraseña (guardada solo de forma cifrada, que no permite leerla) y las fechas de creación y de confirmación del correo. - Agencia: nombre, logotipo, color, correo de contacto que aparece en el informe y opciones del informe. - Clientes de la agencia: nombre del cliente, dirección de la web, páginas que se comprueban, nota de la agencia y la declaración de autorización. - Resultados: comprobaciones, imágenes de la parte superior de las páginas, copias del HTML e informes en PDF. Son contenidos públicos, pero pueden incluir datos personales publicados en la web (por ejemplo, nombres o contactos). - Pago: el identificador de cliente y el estado de la suscripción en Stripe. Los datos de la tarjeta quedan solo en Stripe. - Seguridad: para limitar los intentos de acceso y la creación masiva de cuentas, guardamos la dirección IP y el correo solo de forma protegida (un código HMAC, que no permite recuperar el valor original), durante un máximo de 24 horas. - Captcha: en los formularios de crear cuenta, entrar y recuperar la contraseña, Cloudflare (Turnstile) analiza señales técnicas del navegador, incluida la dirección IP, para confirmar que no se trata de un robot. - Correos del servicio: registro de los correos enviados (confirmación de cuenta, aprobación y avisos sobre informes y suscripción). - Revisión manual: cuando una cuenta o una web pasa por revisión, la persona que opera Provado recibe por correo los datos necesarios para decidir (correo de la cuenta, nombre de la agencia y web) y un enlace para aprobar o rechazar. 4. Para qué usamos los datos y con qué base jurídica - Prestar el servicio (cuenta, comprobaciones, informes, correos del servicio y asistencia): ejecución del contrato (artículo 6.1.b del RGPD). - Seguridad y prevención de abusos (límites de intentos, captcha y revisión manual): interés legítimo en proteger el servicio, las cuentas y las webs visitadas (artículo 6.1.f). - Facturación y obligaciones fiscales: cumplimiento de una obligación legal (artículo 6.1.c). No enviamos publicidad sin consentimiento. No vendemos datos, no los usamos para publicidad y no los usamos para entrenar modelos de inteligencia artificial. No tomamos decisiones automatizadas con efectos jurídicos sobre personas: la revisión manual la decide una persona. ⚠️ [Jurista: confirmar las bases jurídicas y si hay que documentar la ponderación del interés legítimo.] 5. Cookies Usamos solo cookies estrictamente necesarias: las cookies de sesión "seo-agencias-auth", que mantienen la sesión iniciada durante un máximo de 30 días. Los scripts de la página no pueden leerlas. No usamos cookies de análisis ni de publicidad, por lo que no pedimos consentimiento. ⚠️ [Jurista: confirmar si Turnstile y la red de Cloudflare guardan cookies u otro almacenamiento en el navegador y si eso exige aviso o consentimiento.] 6. Con quién compartimos los datos Solo con los proveedores necesarios para el servicio, cada uno solo para su función: - Supabase: base de datos, acceso y archivos. Los datos se guardan en Fráncfort (Alemania). - Stripe: pagos, suscripciones y facturas. - Cloudflare: captcha (Turnstile) y encaminamiento protegido del tráfico de la web. - Brevo (Francia): envío de los correos del servicio. - Servidor: en esta fase, la web y la herramienta funcionan en un ordenador del responsable en Brasil. Los datos pasan por él cuando se procesan (por ejemplo, al generar imágenes y PDF). Fuera de estos casos, solo compartimos datos cuando la ley lo exige. ⚠️ [Jurista: confirmar la entidad contratante y el contrato de encargo de cada proveedor (Supabase Inc., Stripe, Cloudflare Inc., Sendinblue SAS/Brevo) y si Stripe actúa como responsable independiente para parte de los datos.] 7. Transferencias fuera del Espacio Económico Europeo Algunos proveedores son empresas de Estados Unidos (Supabase y Cloudflare), y el servidor y el responsable están en Brasil. En estos casos, la transferencia se basa en [decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU., o cláusulas contractuales tipo]. ⚠️ [Jurista: confirmar la garantía aplicable a cada transferencia, en especial a Brasil. Recomendación técnica: trasladar el servidor a la UE antes de abrir al público.] 8. Cuánto tiempo guardamos los datos - Cuenta, agencia, clientes, comprobaciones, imágenes, HTML e informes: mientras exista la cuenta. - IP y correo protegidos (HMAC) de los intentos de acceso y de creación de cuentas: hasta 24 horas. - Registro de los correos del servicio enviados: hasta 90 días. - Enlace de aprobación de la revisión manual: válido durante 7 días. - Facturas: Stripe las conserva durante el plazo que exige la ley fiscal. Al borrar la cuenta, borramos de inmediato todos los datos y archivos asociados, con nuevos intentos automáticos si alguna parte falla. Stripe conserva el registro de cliente y las facturas. ⚠️ [Jurista y equipo técnico: definir el plazo de las cuentas creadas y nunca confirmadas, de los registros técnicos del servidor (sugerencia: 30 días) y de las copias de seguridad; valorar un plazo máximo para imágenes y HTML antiguos (por ejemplo, 13 meses).] 9. Sus derechos Puede solicitar el acceso a sus datos, su rectificación, supresión, limitación o portabilidad, y oponerse al tratamiento basado en el interés legítimo. Puede corregir la mayoría de los datos en las páginas Marca y Cuenta y borrarlo todo en la página Cuenta. Para lo demás, escriba a [email protected]. Respondemos en el plazo de un mes. También puede presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD, España, www.aepd.es), la Comissão Nacional de Proteção de Dados (CNPD, Portugal, www.cnpd.pt) o la autoridad del país donde vive o trabaja. 10. Seguridad - Conexiones cifradas (HTTPS). - Cada agencia solo accede a sus propios datos, mediante reglas aplicadas en la propia base de datos. - Archivos (logotipos, imágenes, HTML e informes) en almacenamiento privado. - Contraseña de al menos 10 caracteres, con letras y números, y rechazo de contraseñas muy comunes. - Límites de intentos y captcha en el acceso a la cuenta. En caso de violación de datos, la notificamos a la autoridad de control en un plazo de 72 horas cuando la ley lo exige y avisamos a las agencias afectadas. ⚠️ [Equipo técnico: redactar el procedimiento interno de respuesta a incidentes.] 11. Cambios en esta política Siempre publicamos la nueva versión en esta página, con la fecha. Cuando el cambio sea importante, avisamos por correo.