Política de privacidad

1. Quiénes somos

El servicio lo opera advixory s.r.o., IČO 55 211 771, con domicilio social en Námestie osloboditeľov 3/A, 040 01 Košice – Staré Mesto, República Eslovaca, inscrita en el Registro Mercantil del Tribunal Municipal de Košice, sección Sro, vložka č. 55999/V ("advixory", "Townproof", "nosotros").

Somos el responsable respecto a los datos de cuenta, facturación, sitio web, seguridad y uso del producto, los informes públicos y la prospección comercial (Sección 4). Respecto a los datos de contacto y otros datos que los clientes empresariales envían y nos encargan tratar, actuamos como encargado por cuenta de ese cliente, y el cliente es el responsable. Contacto de privacidad: [email protected]. Consulta también nuestro Aviso legal y nuestra Política de cookies.

2. Qué datos recogemos

• Datos de cuenta: nombre, correo electrónico, organización, cargo, eventos de autenticación (incluido el inicio de sesión mediante enlace mágico) y ajustes.
• Datos de contacto enviados por los clientes: correo de contacto, correo normalizado, nombre y número de teléfono, procedentes de cargas de archivos, de la introducción manual o del sistema de reservas o de admisión conectado del cliente. Estos datos proceden de nuestros clientes, que los recogieron de sus propios contactos y clientes.
• Datos de reseñas y respuestas: el texto de las reseñas, las valoraciones y los nombres que aparezcan en ellas y que pegues para obtener un borrador de respuesta con IA, el borrador generado y las respuestas que los destinatarios envían a los correos de solicitud de reseñas.
• Datos del negocio y de los informes: nombres, direcciones, enlaces del perfil de empresa de Google, valoraciones y número de reseñas, sitios web y categorías de tu negocio y de los competidores cercanos; las preguntas que hacemos a los asistentes de IA, sus respuestas, los negocios y las fuentes que nombran, y las conclusiones y correcciones que derivamos.
• Datos del informe gratuito y de las actualizaciones del informe: el negocio que buscas, la ubicación, los competidores que eliges, tu correo electrónico si solicitas el informe o las actualizaciones, y una dirección IP hasheada que se usa para limitar la frecuencia de solicitudes.
• Datos de negocios prospecto: respecto a los negocios con los que contactamos sobre Townproof, el nombre del negocio, los datos de contacto públicos (como una dirección de correo pública del negocio o el nombre del propietario o responsable cuando esté publicado), la fuente de esos datos y nuestro historial de comunicaciones.
• Datos de ventas y comentarios: lo que nos envías mediante los formularios de contacto o de ventas (datos de contacto, datos del negocio, número de ubicaciones, notas) y las respuestas opcionales a nuestra encuesta de precios.
• Datos de uso y analítica: acciones del producto, páginas vistas, progreso del onboarding y eventos de funciones, vinculados a un identificador de cuenta u organización o a un identificador anónimo.
• Datos técnicos: dirección IP e información del dispositivo y del navegador; en los enlaces de reseña con seguimiento, una huella de visitante que cambia a diario; los enlaces de informe personalizados contienen un identificador seudónimo que se usa para registrar que se entregó un informe y atribuir la respuesta a la campaña.
• Registros de auditoría y cumplimiento: envíos, supresiones, consentimientos y aceptaciones legales, acciones con tokens, cambios de facturación, eliminaciones, sesiones de soporte, el usuario que actúa, la dirección IP cuando sea necesaria para el cumplimiento, y marcas de tiempo.
• Datos de facturación: gestionados por nuestro Merchant of Record (Polar); nosotros recibimos metadatos limitados de suscripción y factura.

3. De dónde proceden los datos

La mayoría de los datos proceden de ti. Los datos de contacto proceden de nuestros clientes. Los datos de negocio, valoraciones y número de reseñas proceden de fichas públicas de Google Maps y Places. Las respuestas de IA proceden de los asistentes de IA a los que consultamos. Los datos de contacto de los negocios prospecto proceden de sitios web públicos de empresas y, cuando se usa, de un proveedor de enriquecimiento de datos empresariales; registramos la fuente de cada prospecto. Recogemos estos datos únicamente sobre negocios, pero un contacto de un negocio puede ser una persona con nombre, y el nombre del negocio de un empresario individual puede identificar a una persona.

4. Cómo los usamos y nuestras bases jurídicas (artículo 6 del RGPD)

Cuando nos basamos en intereses legítimos, los hemos ponderado frente a tus derechos y libertades. Respecto a los datos de contacto y otros datos que envían los clientes, el cliente es el responsable y determina las finalidades y la base jurídica; nosotros actuamos únicamente siguiendo las instrucciones documentadas del cliente conforme a nuestro Acuerdo de tratamiento de datos.

• Gestión de tu cuenta y del servicio (inicio de sesión, informes, comprobaciones de visibilidad en IA, solicitudes de reseñas, soporte): para ejecutar nuestro contrato contigo (artículo 6(1)(b)). Si actúas en nombre de un cliente empresarial, tratamos tus datos de contacto y de cuenta sobre la base de nuestro interés legítimo en gestionar la relación comercial con ese cliente (artículo 6(1)(f)).
• Facturación: a través de Polar como Merchant of Record, para ejecutar el contrato y cumplir las obligaciones fiscales y contables (artículo 6(1)(b) y (c)).
• Informes y comparaciones públicos: para mostrar a los negocios cómo se comparan con los competidores cercanos, sobre la base de nuestro interés legítimo en ofrecer comparaciones públicas de información empresarial pública (artículo 6(1)(f)).
• Comprobaciones de visibilidad en IA: enviamos preguntas locales (con nombres y ubicaciones de negocios, nunca datos de contacto) a asistentes de IA y conservamos sus respuestas para elaborar, comparar y explicar los informes (artículo 6(1)(b) para tus comprobaciones, artículo 6(1)(f) para las muestras de informes gratuitos).
• Actualizaciones del informe que solicitas: si introduces tu correo electrónico en un informe gratuito, te enviamos el informe por correo y después volvemos a comprobar la brecha de reseñas de Google y te escribimos unos 4 días más tarde y luego hasta tres veces a intervalos mensuales. Cada correo de actualización incluye un enlace para darte de baja, y también puedes detener las actualizaciones en cualquier momento escribiendo a [email protected]. Base: nuestro interés legítimo en dar seguimiento a una solicitud que hiciste (artículo 6(1)(f)).
• Prospección comercial: enviamos correos a negocios que pueden beneficiarse de Townproof, con un enlace a su informe. Base: nuestro interés legítimo en promocionar nuestro servicio entre negocios (artículo 6(1)(f)). Puedes oponerte en cualquier momento y dejaremos de hacerlo.
• Consultas de ventas e investigación de precios: para responder a tu consulta y evaluar los precios (artículo 6(1)(b) a petición tuya, o artículo 6(1)(f)). Las respuestas de la encuesta no modifican tu precio.
• Analítica de producto: registramos eventos del servicio (como el registro, las comprobaciones de IA y los pagos) vinculados a tu cuenta en nuestra propia base de datos y en PostHog, para medir cómo se usa el servicio y si funciona (artículo 6(1)(f)). Esto funciona sin cookies y es independiente de la analítica del navegador; si aceptaste las cookies de analítica, el evento de registro también incluye los identificadores de analítica del navegador y las etiquetas de campaña de esas cookies. Puedes oponerte escribiendo a [email protected], y dejaremos de enviar a PostHog los eventos de tu cuenta.
• Analítica del navegador y repetición de sesiones: solo con tu consentimiento en el banner de cookies (artículo 6(1)(a) del RGPD y §109(8) de la Ley n.º 452/2021 Coll.). Puedes retirar el consentimiento en cualquier momento a través de Configuración de cookies.
• Seguridad, prevención de abusos y sesiones de soporte: para proteger el servicio y a nuestros clientes (artículo 6(1)(f)). El personal autorizado puede acceder a una cuenta mediante una sesión de soporte registrada y de duración limitada para resolver problemas o investigar incidencias de seguridad; registramos quién lo hizo.
• Registros legales y de cumplimiento, incluidos los consentimientos y las aceptaciones legales, las supresiones y las solicitudes de los interesados (artículo 6(1)(c) y (f)).
• Borradores de respuesta con IA opcionales: solo cuando tú lo solicitas (artículo 6(1)(b)).

5. Qué debes proporcionar

Necesitas una dirección de correo electrónico para crear una cuenta e iniciar sesión; sin ella no podemos darte acceso. Algunas funciones necesitan datos del negocio (por ejemplo, tu perfil de empresa de Google) para funcionar. Todo lo demás, incluidos los correos de actualización del informe, la encuesta de precios y el consentimiento para la analítica, es opcional, y rechazar la analítica no limita tu uso del servicio.

6. Marketing directo y tu derecho de oposición

Puedes oponerte en cualquier momento, sin indicar motivo, al uso de tus datos personales para marketing directo, incluidas las actualizaciones del informe y los correos de prospección. Usa el enlace de baja o responde al correo, o escribe a [email protected], y dejaremos de hacerlo. Conservamos un breve registro de supresión para no volver a contactarte. Para el marketing por correo electrónico seguimos además el §116 de la Ley n.º 452/2021 Coll. y la legislación sobre correo electrónico del país del destinatario, como la CAN-SPAM Act de EE. UU.

7. Menores

Townproof es un producto empresarial y no está dirigido a menores. En Eslovaquia, la edad de consentimiento para los servicios de la sociedad de la información es de 16 años (§15 de la Ley n.º 18/2018 Coll.). No recogemos conscientemente datos personales de menores de esa edad.

8. Destinatarios y subencargados

Utilizamos los proveedores de servicios enumerados a continuación. El Acuerdo de tratamiento de datos contiene la misma lista; las entradas marcadas como responsables independientes no son subencargados. También podemos comunicar datos personales a asesores profesionales, o a autoridades y tribunales cuando la ley lo exija. No vendemos datos personales ni usamos píxeles publicitarios de terceros. Si empezamos a usar una plataforma de envío de correo para la prospección comercial, la añadiremos a esta lista antes de usarla.

• Postmark (AC PM, LLC) — Entrega de correos de solicitud de reseña y transaccionales.
  Ubicación: Estados Unidos · Garantía de transferencia: Cláusulas Contractuales Tipo de la UE; EU–US Data Privacy Framework.
• Polar (Polar Software, Inc.) — responsable independiente — Merchant of Record para suscripciones, pagos, facturación e impuestos. Polar es el vendedor registrado y actúa como responsable independiente respecto a los datos de pago, facturación e impuestos de los compradores. Consulta la política de privacidad de Polar en https://polar.sh/legal/privacy-policy.
  Ubicación: Estados Unidos · Garantía de transferencia: Cláusulas Contractuales Tipo de la UE.
• Neon (Neon, Inc.) — Alojamiento gestionado de PostgreSQL para la base de datos principal de la aplicación.
  Ubicación: Unión Europea (Fráncfort, Amazon Web Services); empresa matriz en Estados Unidos · Garantía de transferencia: Datos almacenados en la UE; EU–US Data Privacy Framework y Cláusulas Contractuales Tipo para cualquier acceso de la matriz.
• Sentry (Functional Software, Inc.) — Supervisión de errores y rendimiento, configurada para depurar datos personales; la repetición de sesiones está desactivada en producción.
  Ubicación: Unión Europea (Fráncfort); empresa matriz en Estados Unidos · Garantía de transferencia: Datos de eventos almacenados en la UE; EU–US Data Privacy Framework y Cláusulas Contractuales Tipo para cualquier acceso de la matriz.
• PostHog (PostHog, Inc.) — Analítica de producto. La analítica del navegador y la repetición de sesiones enmascarada y muestreada solo se ejecutan después de que aceptes la analítica en el banner de cookies. Por separado, nuestros servidores envían eventos del servicio (como el registro, las comprobaciones de IA y los pagos) vinculados a un identificador de cuenta u organización, sobre la base de nuestros intereses legítimos (Política de privacidad, sección 4); no necesitan cookies, pero si aceptaste las cookies de analítica, los eventos de registro también incluyen los identificadores de analítica del navegador y las etiquetas de campaña guardados en ellas. La propia base de datos de Townproof sigue siendo el registro analítico autorizado. El tráfico del navegador llega a PostHog a través de nuestro subdominio t.townproof.com, que PostHog enruta mediante su subencargado Cloudflare.
  Ubicación: Unión Europea (Fráncfort, Amazon Web Services); PostHog, Inc. es una empresa de Estados Unidos y su personal puede acceder a los datos en remoto; el enrutamiento de Cloudflare puede usar ubicaciones fuera de la UE · Garantía de transferencia: Datos de eventos almacenados en la UE. El acceso remoto del personal de PostHog, Inc. se basa en el EU–US Data Privacy Framework, en el que PostHog, Inc. declara estar certificada. El acuerdo de tratamiento de datos de PostHog aún no está firmado. No se almacenan las direcciones IP de los clientes.
• Google (Google Ireland Limited) — Consultas a Google Maps y Places para datos del perfil de empresa, información de competidores y auditorías; Gemini API (nivel de pago) para las comprobaciones de visibilidad en IA, que recibe nombres de empresas, ubicaciones y preguntas de búsqueda, no datos de contactos. En el nivel de pago, Google no usa las solicitudes ni las respuestas para mejorar sus productos.
  Ubicación: Entidad contratante europea (Google Cloud EMEA Limited para la Gemini API); el tratamiento puede producirse a escala mundial · Garantía de transferencia: EU–US Data Privacy Framework; Cláusulas Contractuales Tipo de la UE.
• Cloudflare (Cloudflare, Inc.) — DNS autoritativo para los dominios de Townproof y almacenamiento de objetos R2 para los informes de visibilidad en IA generados (se eliminan a los 365 días).
  Ubicación: Empresa de Estados Unidos; red global. El bucket R2 está configurado para preferir Europa del Este, lo que Cloudflare aplica en la medida de lo posible, sin garantizar que el almacenamiento o el tratamiento se realicen solo en la UE · Garantía de transferencia: EU–US Data Privacy Framework; Cláusulas Contractuales Tipo de la UE.
• OpenRouter (OpenRouter, Inc.) y proveedores de modelos alojados seleccionados — Enrutamiento opcional de solicitudes de borradores de respuesta asistidos por IA a través de OpenRouter hacia proveedores de modelos alojados seleccionados cuando la función de IA está habilitada. OpenRouter y el proveedor de inferencia seleccionado reciben solo el texto de la reseña y el contexto del prompt necesarios para generar el borrador; el enrutamiento de producción se limita a proveedores aprobados y se configura para denegar la recopilación de datos por el proveedor o exigir retención cero de datos cuando esté soportado.
  Ubicación: Estados Unidos (OpenRouter; inferencia limitada actualmente a DeepInfra, Inc. y Fireworks AI, Inc., ambas en Estados Unidos) · Garantía de transferencia: Acuerdo de Tratamiento de Datos de OpenRouter y Cláusulas Contractuales Tipo de la UE; la recopilación de datos por los proveedores está denegada en el enrutamiento. Actualizaremos esta entrada antes de enrutar a otros proveedores.
• Railway (Railway Corporation) — Alojamiento de la API y de los procesos en segundo plano (envío de solicitudes de reseñas, consulta de reseñas, comprobaciones de visibilidad en IA). Trata en memoria datos de cuentas, contactos y mensajes; la base de datos permanece en Neon, en la UE.
  Ubicación: Estados Unidos (Virginia) · Garantía de transferencia: Términos de servicio de Railway. El acuerdo de tratamiento de datos de Railway, que incluye las Cláusulas Contractuales Tipo de la UE, aún no está firmado. Nuestra base de datos permanece en la UE.
• Vercel (Vercel, Inc.) — Alojamiento del sitio web y de la aplicación web, y entrega de contenido.
  Ubicación: Funciones de servidor en la Unión Europea (Fráncfort); red perimetral global para la entrega de contenido; empresa de Estados Unidos · Garantía de transferencia: Cláusulas Contractuales Tipo de la UE; EU–US Data Privacy Framework.

9. Conservación de datos

• Identificadores de contacto (correo electrónico, correo normalizado, nombre, número de teléfono): se eliminan 365 días después de la última interacción del contacto, o después de su creación si no hubo ninguna, salvo que haya un envío en curso. Los metadatos no identificativos, los registros de auditoría, los registros de mensajes con los datos personales eliminados y los registros de supresión se conservan para que el historial de cumplimiento y las bajas sobrevivan a la eliminación.
• Borradores de respuesta con IA y el texto de reseña que contienen: 90 días.
• Informes gratuitos, suscripciones a actualizaciones del informe y registros de negocios prospecto que no dieron lugar a una cuenta: los datos personales se eliminan 12 meses después de la última actividad. Se conserva un registro de supresión mínimo si te diste de baja o te opusiste. Los informes que dieron lugar a una cuenta se conservan con esa cuenta. Si nos pediste crear una cuenta, esa solicitud (tu correo, el nombre del negocio y la ficha de Google) se conserva en nuestros registros de ventas como prueba de lo que pediste, también cuando la creación no se completó.
• Texto bruto de las respuestas de las comprobaciones de visibilidad en IA: 90 días. Extractos breves citados en las muestras de informes gratuitos: 90 días desde la muestra original. Los recuentos, las fuentes citadas y las conclusiones derivadas de las respuestas se conservan con el informe. Archivos de informe generados: 365 días.
• Registros de enlaces de reseña con seguimiento: 13 meses.
• Eventos de analítica de producto en nuestra base de datos: 24 meses. PostHog conserva los eventos durante 1 año y las repeticiones de sesión hasta 30 días.
• Datos de cuenta: mientras la cuenta esté activa y se eliminan en un plazo razonable (en general hasta 90 días) tras el cierre de la cuenta, salvo que la ley exija una conservación más prolongada.
• Consultas de ventas y respuestas de la encuesta de precios: durante el tiempo necesario para la consulta o el trabajo sobre precios, y no más de 24 meses.
• Registros de auditoría: durante el tiempo necesario por motivos de seguridad y para cumplir las obligaciones legales. Registros de facturación, contabilidad e impuestos: durante los periodos exigidos por la legislación eslovaca (en general hasta 10 años).

10. Transferencias internacionales

Nuestra base de datos principal está alojada en la Unión Europea (Fráncfort). Algunos proveedores de servicios tratan datos personales fuera del Espacio Económico Europeo, principalmente en Estados Unidos: alojamiento de la aplicación, entrega de correo, asistentes de IA, entrega y enrutamiento de contenidos, y acceso remoto por parte del personal de los proveedores. Cuando se transfieren datos personales fuera del EEE, nos basamos en una decisión de adecuación (incluido el EU–US Data Privacy Framework cuando el destinatario concreto esté certificado) o en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión (UE) 2021/914) incluidas en las condiciones de tratamiento de datos del proveedor, junto con las medidas complementarias que sean necesarias. Antes de basarnos en las Cláusulas Contractuales Tipo evaluamos la legislación del país del destinatario. Puedes solicitar una copia de las garantías en [email protected]. La lista de proveedores de la sección 8 muestra la garantía de cada proveedor, incluido cuándo aún no se ha firmado un acuerdo de tratamiento de datos.

11. Tus derechos

Con sujeción a la legislación aplicable, tienes derecho de acceso, rectificación, supresión, limitación, portabilidad de datos y oposición, y derecho a retirar el consentimiento en cualquier momento sin que ello afecte a la licitud del tratamiento previo a la retirada. Para ejercer estos derechos, escribe a [email protected]; los titulares de cuenta también pueden exportar los datos de contacto en el producto como un paquete JSON y CSV.

Cuando una solicitud se refiere a datos de contacto que envió un cliente, el cliente es el responsable y la solicitud debe dirigirse normalmente a ese cliente; nosotros ayudamos a los clientes a atender las solicitudes válidas.

No adoptamos decisiones que produzcan efectos jurídicos o de manera similar significativos sobre ti basadas únicamente en el tratamiento automatizado. Los resultados de visibilidad en IA describen cómo respondieron los asistentes de IA; no son decisiones sobre ti.

Tienes derecho a presentar una reclamación ante una autoridad de control, en particular ante la Oficina de Protección de Datos Personales de la República Eslovaca (Úrad na ochranu osobných údajov SR), Galvaniho 7/B, 821 04 Bratislava, dataprotection.gov.sk.

12. Cookies y analítica

El registro analítico de referencia de Townproof es su propia tabla de analítica propia analytics_events. Las cookies estrictamente necesarias (como la cookie de inicio de sesión) se establecen siempre. Las cookies analíticas propias no esenciales (nk_anon, nk_utm, nk_session), la analítica del navegador y la repetición de sesiones requieren consentimiento previo y permanecen desactivadas hasta que lo otorgues. La analítica del navegador y la repetición de sesiones enmascarada de PostHog solo se cargan después de que aceptes la analítica en el banner de cookies; si rechazas o no eliges, PostHog no se ejecuta y tu navegador no le envía datos. Los eventos del servicio generados en el servidor se describen en la Sección 4. La supervisión de errores (Sentry) está configurada para eliminar datos personales; Google Maps puede establecer cookies en las páginas o widgets que muestran un mapa. Los enlaces de informe personalizados contienen un identificador seudónimo del destinatario. Cuando se solicita una de estas URL, registramos en el servidor que se ha entregado el informe y usamos ese registro para atribuir la respuesta a la campaña. Este tratamiento en el servidor no almacena ni consulta por sí mismo información en tu dispositivo. Las direcciones IP y la huella de visitante usadas en los enlaces de reseña con seguimiento se tratan como datos personales seudonimizados y se usan para atribuir clics y prevenir abusos sobre la base de nuestros intereses legítimos; puedes oponerte en cualquier momento conforme a la Sección 11. No usamos píxeles publicitarios de terceros. Consulta nuestra Política de cookies para más detalles.

13. Cómo protegemos los datos personales

Aplicamos medidas técnicas y organizativas adecuadas, incluidos el cifrado en tránsito, controles de acceso y acceso de mínimo privilegio, aislamiento entre clientes, acceso de soporte registrado y de duración limitada, seudonimización y tombstoning de los datos eliminados, registro de actividad, y procedimientos de copia de seguridad y respuesta ante brechas. Ningún método de transmisión o almacenamiento es completamente seguro, pero trabajamos para proteger los datos personales conforme al artículo 32 del RGPD.

14. Cambios de responsable y transmisiones del negocio

El responsable del tratamiento es actualmente advixory s.r.o. Podemos transferir nuestro negocio, o parte de él, incluido este servicio y los datos personales que tratamos en relación con él, a una entidad sucesora o vinculada, por ejemplo en el marco de una fusión, reorganización o venta del negocio o de sus activos. Si la identidad del responsable cambia como consecuencia de ello, actualizaremos esta Política para identificar al nuevo responsable y te lo notificaremos antes o en el momento en que el cambio surta efecto, de conformidad con los artículos 13 y 14 del RGPD. El nuevo responsable seguirá tratando tus datos personales para las mismas finalidades y con las mismas garantías salvo que te indiquemos lo contrario. Cuando nosotros y la nueva entidad formemos parte del mismo grupo, podremos transmitir datos personales dentro del grupo con fines administrativos internos sobre la base de nuestros intereses legítimos (Considerando 48 del RGPD).

15. Cambios en esta Política

Podemos actualizar esta Política cuando cambien el servicio, la ley o nuestras operaciones. Los cambios materiales se comunicarán a través del producto, por correo electrónico o en el sitio web, y se actualizará la fecha de "Última actualización".

16. Contacto y delegado de protección de datos

No estamos legalmente obligados a nombrar, ni hemos nombrado, un Delegado de Protección de Datos. Las solicitudes de privacidad, del Acuerdo de tratamiento de datos y de los interesados pueden enviarse a [email protected] o a advixory s.r.o. en el domicilio social indicado arriba.

17. Derechos de privacidad en Estados Unidos

Townproof se opera desde Eslovaquia y presta servicio a clientes empresariales de todo el mundo, incluidos negocios locales de Estados Unidos. No vendemos ni compartimos información personal ni la usamos para publicidad conductual de contexto cruzado. Si resides en California u otro estado de EE. UU. con una ley integral de privacidad, puedes tener, con arreglo a esa ley, el derecho a conocer o acceder a la información personal que tenemos, a eliminarla o corregirla, a oponerte a cualquier venta o cesión (no realizamos ninguna), a limitar el uso de información personal sensible (no la usamos más allá de prestar el servicio) y a no sufrir discriminación por ejercer estos derechos. Para ejercer un derecho, o recurrir una decisión, escribe a [email protected]; puedes usar un agente autorizado y podemos verificar tu identidad antes de actuar. La aplicación de una ley estatal depende de sus umbrales y exenciones; la información de contacto empresarial no está exenta en todos los estados, y la ley de California puede incluirla. Cuando actuamos por cuenta de un cliente, remitiremos tu solicitud a ese cliente y le ayudaremos.