Política de privacidad

1. Quiénes somos

El servicio lo opera advixory s.r.o., IČO 55 211 771, con domicilio social en Námestie osloboditeľov 3/A, 040 01 Košice – Staré Mesto, República Eslovaca, inscrita en el Registro Mercantil del Tribunal Municipal de Košice, sección Sro, vložka č. 55999/V ("advixory", "Townproof", "nosotros").

Respecto a los datos de cuenta, facturación, sitio web y uso del producto somos el responsable. Respecto a los datos de contacto que los clientes empresariales cargan y nos encargan tratar, actuamos como encargado por cuenta de ese cliente, y el cliente es el responsable. Contacto de privacidad: [email protected]. Consulta también nuestro Aviso legal y nuestra Política de cookies.

2. Qué datos recogemos

• Datos de cuenta: nombre, correo electrónico, organización, eventos de autenticación (incluido el inicio de sesión mediante enlace mágico) y ajustes.
• Datos de contacto cargados por los clientes: correo de contacto, correo normalizado, nombre y número de teléfono. Estos datos proceden de nuestros clientes, que los recogieron de sus propios contactos y clientes.
• Datos de uso: acciones del producto, páginas vistas, progreso del onboarding y eventos de funciones.
• Eventos de analítica propia: nombres de eventos, marcas de tiempo, URL, parámetros UTM e identificador anónimo.
• Datos técnicos: dirección IP e información del dispositivo y del navegador; en los enlaces de reseña con seguimiento usamos un identificador de visitante para atribuir los clics. Los enlaces personalizados de auditoría o informe contienen un identificador seudónimo del destinatario que permite registrar que se entregó el informe y atribuir la respuesta a la campaña.
• Registros de auditoría y cumplimiento: envíos, supresiones, eventos de consentimiento, acciones con tokens, cambios de facturación, eliminaciones, el usuario que actúa, la dirección IP cuando sea necesaria para el cumplimiento, y marcas de tiempo.
• Datos de la auditoría gratuita de visitantes no autenticados: nombre del negocio, ubicación, URL del perfil de empresa de Google, correo de contacto, información de competidores y una dirección IP hasheada.
• Datos de facturación: gestionados por nuestro Merchant of Record (Polar); nosotros recibimos metadatos limitados de suscripción y factura.

3. Cómo los usamos

• Prestación del servicio: autenticación, configuración de la organización, importación de contactos, flujos de solicitud de reseñas, gestión de bajas y supresiones, y soporte.
• Facturación: checkout de suscripción, emisión de facturas, gestión fiscal, límites de plan y administración de la cuenta, realizados a través de Polar como Merchant of Record.
• Analítica de producto propia: medición de la activación, la fiabilidad y el uso. Cuando está activado, PostHog es únicamente una interfaz opcional de análisis y depuración, nunca la fuente de verdad de las métricas.
• Seguridad y prevención de abusos: protección del servicio, aplicación de los límites de envío y del aislamiento entre clientes, y prevención del fraude y el uso indebido.
• Aspectos legales, fiscales y de cumplimiento: acreditación de consentimiento, solicitudes de los interesados, conservación, auditabilidad y obligaciones legales.
• Asistencia opcional de IA: generación de borradores de respuesta a reseñas cuando, y solo cuando, uses esa función.

4. Bases jurídicas (artículo 6 del RGPD)

Tratamos los datos de cuenta y facturación para ejecutar nuestro contrato contigo (artículo 6(1)(b)).

Tratamos los datos de uso, técnicos, de seguridad y de analítica propia, y enviamos comunicaciones relacionadas con el servicio y de tipo B2B, sobre la base de nuestros intereses legítimos en operar, proteger, medir y mejorar el servicio (artículo 6(1)(f)). Hemos ponderado estos intereses frente a tus derechos, y puedes oponerte en cualquier momento (véase la Sección 9).

Tratamos los registros de auditoría, facturación, contabilidad, impuestos y cumplimiento cuando es necesario para cumplir una obligación legal (artículo 6(1)(c)).

Nos basamos en el consentimiento para las cookies no esenciales y la analítica opcional (artículo 6(1)(a)); puedes retirar el consentimiento en cualquier momento.

Respecto a los datos de contacto que cargan los clientes, el cliente es el responsable y determina las finalidades y la base jurídica; nosotros tratamos esos datos únicamente siguiendo las instrucciones documentadas del cliente conforme a nuestro Acuerdo de tratamiento de datos.

5. Menores

Townproof es un producto empresarial y no está dirigido a menores. En Eslovaquia, la edad de consentimiento para los servicios de la sociedad de la información es de 16 años (§15 de la Ley n.º 18/2018 Coll.). No recogemos conscientemente datos personales de menores de esa edad.

6. Destinatarios y subencargados

Utilizamos los subencargados enumerados a continuación para prestar Townproof. El Acuerdo de tratamiento de datos contiene la misma lista y se mantiene sincronizado con esta Política. También podemos comunicar datos personales a asesores profesionales, o a autoridades y tribunales cuando la ley lo exija. No vendemos datos personales ni usamos píxeles publicitarios de terceros.

• Postmark (AC PM, LLC) — Entrega de correos de solicitud de reseña y transaccionales.
  Ubicación: Estados Unidos · Garantía de transferencia: Cláusulas Contractuales Tipo de la UE; EU–US Data Privacy Framework.
• Polar (Polar Software, Inc.) — Merchant of Record para suscripciones, pagos, facturación e impuestos. Polar es el vendedor registrado y actúa como responsable independiente respecto a los datos de pago, facturación e impuestos de los compradores. Consulta la política de privacidad de Polar en https://polar.sh/legal/privacy-policy.
  Ubicación: Estados Unidos · Garantía de transferencia: Cláusulas Contractuales Tipo de la UE.
• Neon (Neon, Inc.) — Alojamiento gestionado de PostgreSQL para la base de datos principal de la aplicación.
  Ubicación: Unión Europea (Fráncfort, Amazon Web Services); empresa matriz en Estados Unidos · Garantía de transferencia: Datos almacenados en la UE; EU–US Data Privacy Framework y Cláusulas Contractuales Tipo para cualquier acceso de la matriz.
• Sentry (Functional Software, Inc.) — Supervisión de errores y rendimiento, configurada para depurar datos personales; la repetición de sesiones está desactivada en producción.
  Ubicación: Unión Europea (Fráncfort); empresa matriz en Estados Unidos · Garantía de transferencia: Datos de eventos almacenados en la UE; EU–US Data Privacy Framework y Cláusulas Contractuales Tipo para cualquier acceso de la matriz.
• PostHog (PostHog, Inc.) — Analítica de producto opcional y repetición de sesiones enmascarada y muestreada. Desactivada por defecto y usada solo con consentimiento; la propia base de datos de Townproof sigue siendo el registro analítico autorizado.
  Ubicación: Unión Europea (Fráncfort) · Garantía de transferencia: Datos alojados en la UE.
• Google (Google Ireland Limited) — Consultas a Google Maps y Places para datos del perfil de empresa, información de competidores y auditorías, y el widget de mapa opcional.
  Ubicación: Entidad contratante europea; el tratamiento puede producirse a escala mundial · Garantía de transferencia: EU–US Data Privacy Framework; Cláusulas Contractuales Tipo de la UE.
• Cloudflare (Cloudflare, Inc.) — DNS autoritativo para los dominios de Townproof.
  Ubicación: Estados Unidos · Garantía de transferencia: EU–US Data Privacy Framework; Cláusulas Contractuales Tipo de la UE.
• OpenRouter (OpenRouter, Inc.) y proveedores de modelos alojados seleccionados — Enrutamiento opcional de solicitudes de borradores de respuesta asistidos por IA a través de OpenRouter hacia proveedores de modelos alojados seleccionados cuando la función de IA está habilitada. OpenRouter y el proveedor de inferencia seleccionado reciben solo el texto de la reseña y el contexto del prompt necesarios para generar el borrador; el enrutamiento de producción se limita a proveedores aprobados y se configura para denegar la recopilación de datos por el proveedor o exigir retención cero de datos cuando esté soportado.
  Ubicación: Estados Unidos; la ubicación del proveedor de inferencia seleccionado depende de la configuración de enrutamiento · Garantía de transferencia: Acuerdo de Tratamiento de Datos de OpenRouter y Cláusulas Contractuales Tipo de la UE; salvaguardas específicas del proveedor confirmadas antes del uso en producción.
• Vercel (Vercel, Inc.) — Alojamiento de la aplicación y entrega de contenido.
  Ubicación: Estados Unidos (existe una región de la UE disponible) · Garantía de transferencia: Cláusulas Contractuales Tipo de la UE; EU–US Data Privacy Framework.

7. Conservación de datos

Los datos personales de contacto se conservan únicamente mientras sean necesarios para los flujos de solicitud de reseñas. Por defecto, el correo de contacto, el nombre, el número de teléfono y el correo normalizado se eliminan 365 días después de la última interacción del contacto. Los metadatos no identificativos del contacto, los registros de auditoría, los registros de mensajes con los datos personales eliminados y los registros de supresión se conservan para que el historial de cumplimiento y las bajas sobrevivan a la eliminación.

Los datos de cuenta se conservan mientras la cuenta esté activa y se eliminan en un plazo razonable (en general hasta 90 días) tras el cierre de la cuenta, salvo que la ley exija una conservación más prolongada. Los eventos de analítica propia se conservan hasta 24 meses. Los registros de auditoría se conservan durante el tiempo necesario por motivos de seguridad y para cumplir las obligaciones legales. Los registros de facturación, contabilidad e impuestos se conservan durante los periodos exigidos por la legislación eslovaca (en general hasta 10 años).

8. Transferencias internacionales

Nuestra base de datos principal está alojada en la Unión Europea (Fráncfort). Algunos subencargados todavía tratan datos personales fuera del Espacio Económico Europeo, como la entrega de correo y el alojamiento de la aplicación en Estados Unidos. Cuando se transfieren datos personales fuera del EEE, nos basamos en una decisión de adecuación, el EU–US Data Privacy Framework o las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión (UE) 2021/914) junto con las medidas complementarias que sean necesarias. Antes de basarnos en las Cláusulas Contractuales Tipo evaluamos la legislación del país de destino y aplicamos medidas complementarias como el cifrado en tránsito y en reposo, y dichas cláusulas otorgan a las personas afectadas derechos exigibles y vías de recurso efectivas. Puedes solicitar una copia de las garantías aplicadas en [email protected].

9. Tus derechos

Con sujeción a la legislación aplicable, tienes derecho de acceso, rectificación, supresión, limitación, portabilidad de datos y oposición, y derecho a retirar el consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo a la retirada. Para ejercer estos derechos, escribe a [email protected]; los titulares de cuenta también pueden exportar los datos de contacto en el producto como un paquete JSON y CSV.

Cuando una solicitud se refiere a datos de contacto que cargó un cliente, el cliente es el responsable y la solicitud debe dirigirse normalmente a ese cliente; nosotros ayudamos a los clientes a atender las solicitudes válidas.

No adoptamos decisiones que produzcan efectos jurídicos o de manera similar significativos sobre ti basadas únicamente en el tratamiento automatizado.

Tienes derecho a presentar una reclamación ante una autoridad de control, en particular ante la Oficina de Protección de Datos Personales de la República Eslovaca (Úrad na ochranu osobných údajov SR), Galvaniho 7/B, 821 04 Bratislava, dataprotection.gov.sk.

10. Cookies y analítica

El registro analítico de referencia de Townproof es su propia tabla de eventos analytics_events. Las cookies estrictamente necesarias (como la cookie de inicio de sesión) se establecen siempre. Las cookies analíticas propias no esenciales (nk_anon, nk_utm, nk_session), la analítica del navegador y la repetición de sesiones requieren consentimiento previo y permanecen desactivadas hasta que lo otorgues. La analítica del navegador y la repetición de sesiones de PostHog están desactivadas por defecto; la supervisión de errores (Sentry) está configurada para eliminar datos personales; Google Maps puede establecer cookies en las páginas o widgets que muestran un mapa. Los enlaces personalizados de auditoría o informe contienen un identificador seudónimo del destinatario. Cuando se solicita una de esas URL, registramos en el servidor que se ha entregado el informe y usamos ese registro para atribuir la respuesta a la campaña. Este tratamiento en el servidor no almacena ni consulta por sí mismo información en tu dispositivo. Tratamos estos datos seudonimizados durante un periodo limitado sobre la base de nuestros intereses legítimos en atribuir campañas y medir el servicio; puedes oponerte en cualquier momento conforme a la Sección 9. Las direcciones IP y el identificador de visitante usado en los enlaces de reseña con seguimiento también se tratan como datos personales seudonimizados durante un periodo limitado, sobre la base de nuestros intereses legítimos en atribuir clics y prevenir abusos. No usamos píxeles publicitarios de terceros. Consulta nuestra Política de cookies para más detalles.

11. Cómo protegemos los datos personales

Aplicamos medidas técnicas y organizativas adecuadas, incluida la cifrado en tránsito, controles de acceso y acceso de mínimo privilegio, aislamiento entre clientes, seudonimización y tombstoning de los datos eliminados, registro de actividad, y procedimientos de copia de seguridad y respuesta ante brechas. Ningún método de transmisión o almacenamiento es completamente seguro, pero trabajamos para proteger los datos personales conforme al artículo 32 del RGPD.

12. Cambios de responsable y transmisiones del negocio

El responsable del tratamiento es actualmente advixory s.r.o. Podemos transferir nuestro negocio, o parte de él, incluido este servicio y los datos personales que tratamos en relación con él, a una entidad sucesora o vinculada, por ejemplo en el marco de una fusión, reorganización o venta del negocio o de sus activos. Si la identidad del responsable cambia como consecuencia de ello, actualizaremos esta Política para identificar al nuevo responsable y te lo notificaremos antes o en el momento en que el cambio surta efecto, de conformidad con los artículos 13 y 14 del RGPD. El nuevo responsable seguirá tratando tus datos personales para las mismas finalidades y con las mismas garantías salvo que te indiquemos lo contrario. Cuando nosotros y la nueva entidad formemos parte del mismo grupo, podremos transmitir datos personales dentro del grupo con fines administrativos internos sobre la base de nuestros intereses legítimos (Considerando 48 del RGPD).

13. Cambios en esta Política

Podemos actualizar esta Política cuando cambien el servicio, la ley o nuestras operaciones. Los cambios materiales se comunicarán a través del producto, por correo electrónico o en el sitio web, y se actualizará la fecha de "Última actualización".

14. Contacto y delegado de protección de datos

No estamos legalmente obligados a nombrar, ni hemos nombrado, un Delegado de Protección de Datos. Las solicitudes de privacidad, del Acuerdo de tratamiento de datos y de los interesados pueden enviarse a [email protected] o a advixory s.r.o. en el domicilio social indicado arriba.

15. Derechos de privacidad en Estados Unidos

Townproof es un producto para empresas ofrecido principalmente en la Unión Europea, y no vendemos ni compartimos tu información personal ni la usamos para publicidad conductual de contexto cruzado. Si resides en California u otro estado de EE. UU. con una ley integral de privacidad, puedes tener, con arreglo a esa ley, el derecho a conocer o acceder a la información personal que tenemos, a eliminarla o corregirla, a oponerte a cualquier venta o cesión (no realizamos ninguna), a limitar el uso de información personal sensible (no la usamos más allá de prestar el servicio) y a no sufrir discriminación por ejercer estos derechos. Para ejercer un derecho, o recurrir una decisión, escribe a [email protected]; puedes usar un agente autorizado y podemos verificar tu identidad antes de actuar. La mayoría de los datos que tratamos son de contexto empresarial o se tratan por cuenta de nuestros clientes, lo que generalmente queda fuera de estas leyes estatales; cuando actuamos por cuenta de un cliente, remitiremos tu solicitud a ese cliente y le ayudaremos.