Política de privacidad

1. Quiénes somos

Flowgration («nosotros», «nos», «nuestro») es una plataforma todo en uno de automatización de marketing y CRM con sede en España. Esta Política de privacidad explica cómo recogemos, utilizamos, almacenamos y compartimos los datos personales de nuestros clientes y sus usuarios finales. Cumple con el Reglamento General de Protección de Datos de la UE (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Contacto: nuestro equipo de privacidad

Responsable del tratamiento

2. Qué datos recogemos

• Datos de cuenta: nombre, correo electrónico, contraseña (con hash), nombre de la organización y rol.
• Datos de uso: páginas visitadas, funciones utilizadas, dirección IP, metadatos del navegador y del dispositivo.
• Datos de clientes que usted sube: contactos, prospectos, oportunidades, actividades, mensajes y cualquier contenido que cree dentro de Flowgration. Usted sigue siendo el responsable del tratamiento de dichos datos; nosotros actuamos como encargado del tratamiento.
• Datos de pago: procesados por Stripe. Nunca vemos ni almacenamos el número completo de la tarjeta de crédito.
• Credenciales de integración: claves SMTP, tokens de Twilio, tokens de WhatsApp. Almacenadas cifradas en reposo.

3. Por qué los tratamos (base jurídica)

• Ejecución del contrato — para prestar el servicio que usted contrató.
• Interés legítimo — para mejorar el producto, prevenir el fraude y garantizar la seguridad de la plataforma.
• Consentimiento — para el envío de correos de marketing opcionales y el uso de cookies analíticas.
• Obligación legal — contabilidad, fiscalidad y cumplimiento de resoluciones judiciales.

4. Cuánto tiempo los conservamos

Los datos de cuenta se conservan mientras su cuenta esté activa. Tras la cancelación, eliminamos los datos personales en un plazo de 90 días, salvo que la normativa obligue a conservarlos durante más tiempo (generalmente hasta 6 años para la documentación contable). Puede solicitar la eliminación anticipada a través del formulario de contacto de privacidad.

5. Con quién los compartimos (subencargados)

Solo compartimos datos con subencargados del tratamiento debidamente verificados y estrictamente necesarios para la prestación del servicio:

• Hostinger / proveedor VPS — infraestructura de alojamiento (UE).
• Neon: base de datos PostgreSQL gestionada (UE).
• Stripe — pagos (UE / EE. UU., con CCE en vigor).
• OpenAI — funciones de inteligencia artificial activadas explícitamente por el usuario (EE. UU., con CCE en vigor).
• Anthropic: proveedor alternativo de IA, solo si se configura.
• Twilio — SMS (EE. UU., con CCE en vigor).
• Meta (API de WhatsApp Business) — cuando usted activa WhatsApp.
• Sentry: monitorización de errores.

Suscribimos un Acuerdo de Encargo de Tratamiento (DPA) con cada subencargado. La lista completa y actualizada está publicada en nuestra página de subencargados. Consulta la lista completa de subencargados.

6. Transferencias internacionales

Cuando los datos se transfieren fuera del Espacio Económico Europeo (EEE), nos basamos en las Cláusulas Contractuales Tipo de la UE (2021/914) y, cuando resulta de aplicación, en el Marco de Privacidad de Datos UE-EE. UU.

7. Sus derechos (RGPD)

• Derecho de acceso — obtener una copia de sus datos.
• Derecho de rectificación — corregir datos inexactos.
• Derecho de supresión («derecho al olvido»).
• Derecho a la limitación u oposición al tratamiento.
• Derecho a la portabilidad de los datos — exportar sus datos en formato legible por máquina.
• Derecho a presentar una reclamación ante la autoridad de control (en España, la AEPD: aepd.es).

Puede ejercer cualquiera de estos derechos a través de nuestro formulario de contacto de privacidad. Respondemos en el plazo de un mes.

8. Seguridad

Ciframos los datos en tránsito (TLS 1.2+) y las credenciales de integración en reposo. Aplicamos controles de acceso de mínimo privilegio, actualizaciones periódicas de dependencias y copias de seguridad automatizadas. En caso de violación de seguridad que afecte a sus derechos, le notificaremos a usted y a la AEPD en el plazo de 72 horas.

9. Cookies

Utilizamos un número reducido de cookies, agrupadas en tres categorías. Las cookies estrictamente necesarias están siempre activas; el resto solo se cargan después de que usted acepte mediante el banner en su primera visita.

• Estrictamente necesarias — imprescindibles para el inicio de sesión, la seguridad y las funcionalidades básicas. Ejemplos:session(cookie de sesión, caduca al cerrar sesión),csrf_token(cookie de sesión),flowgration_consent(almacenamiento local; recuerda su elección durante 12 meses).
• Analíticas — miden el uso para ayudarnos a mejorar. Se cargan solo con consentimiento. Actualmente no hay ningún proveedor de analítica conectado al bundle público; cuando lo añadamos (habitualmente Plausible o Google Analytics 4), las cookies correspondientes (p. ej. _ga, retención de 13 meses) se incluirán en esta lista.
• Marketing — píxeles de atribución publicitaria y remarketing. Se cargan solo con consentimiento. Actualmente no están activos. Cuando se activen (p. ej. Meta Pixel, LinkedIn Insight), las cookies y los periodos de retención se publicarán aquí con antelación.

Gestionar preferencias

10. Menores

Flowgration no está dirigido a menores de 16 años. No recogemos datos de menores de forma consciente.

11. Cambios en esta política

Notificaremos por correo electrónico a los administradores de cuenta con al menos 15 días de antelación ante cualquier cambio sustancial. El uso continuado del servicio tras la fecha de entrada en vigor implica la aceptación de dichos cambios.