Política de privacidad

Responsable: la identidad jurídica completa, el NIF/CIF y el domicilio del responsable deben confirmarse antes de usar esta política como información legal definitiva. El servicio opera bajo la marca comercial Repliq (en adelante, “Repliq” o “nosotros”).

Contacto para protección de datos: dsbusiness.global@gmail.com

Repliq no está obligada a designar un Delegado de Protección de Datos (DPD) con arreglo al art. 37 del RGPD, dado que no realiza tratamientos de datos personales a gran escala ni trata categorías especiales de forma sistemática. Las solicitudes relativas al ejercicio de derechos o consultas sobre privacidad deben dirigirse a la dirección de correo indicada.

• •Datos de cuenta: email, nombre y contraseña (cifrada por Supabase Auth conforme a bcrypt).
• •Datos de negocio: nombre del establecimiento, dirección, zona horaria y categoría.
• •Tokens de Google OAuth: cifrados con AES-256-GCM en reposo; solo accesibles por el servidor.
• •Reseñas de Google Maps: importadas mediante la API oficial de Google Business Profile.
• •Datos de facturación: gestionados íntegramente por Stripe Inc. y Stripe Payments Europe Ltd. No almacenamos datos de tarjeta en nuestros servidores.
• •Atribución de alta: fuente, medio, campaña, página de entrada, referencia de origen y página de registro. Solo se conserva temporalmente en la sesión del navegador y, si creas una cuenta, se asocia a ella para medir qué canales generan altas; no incluye el identificador bruto del clic.
• •Logs de IA: prompt, respuesta, modelo y tokens consumidos por cada reseña procesada (para auditoría y mejora).
• •Logs técnicos: IP, user-agent, timestamps de acceso (conservados 90 días para seguridad).

Tratamos tus datos para las siguientes finalidades y bases legales:

• •Prestación del servicio contratado (art. 6.1.b RGPD, ejecución de contrato): gestión de cuenta, generación de borradores con IA, publicación de respuestas en Google.
• •Facturación y obligaciones fiscales (art. 6.1.c RGPD, obligación legal): emisión y conservación de facturas.
• •Mejora del servicio y seguridad (art. 6.1.f RGPD, interés legítimo): análisis agregado de uso, prevención de fraude, auditoría.
• •Comunicaciones transaccionales (art. 6.1.b RGPD): notificaciones operativas del servicio (no comerciales).

No vendemos datos a terceros. No los usamos para perfilado publicitario. No realizamos transferencias internacionales fuera del EEE salvo las indicadas en el apartado 5.

Conservamos los datos mientras mantengas una cuenta activa. Al eliminar tu cuenta, los datos personales se suprimen en un plazo máximo de 30 días, salvo los que deban conservarse por obligación legal:

• •Datos de facturación: 6 años (art. 30 Código de Comercio y art. 70 Ley General Tributaria).
• •Logs técnicos de acceso y seguridad: 90 días, salvo que sean necesarios para la investigación de incidentes de seguridad o por requerimiento de autoridad competente.
• •Logs de IA (audit trail): 12 meses para auditoría y cumplimiento.
• •Tokens OAuth de Google: se eliminan inmediatamente al revocar la autorización o eliminar la cuenta.

Compartimos datos estrictamente necesarios con los siguientes encargados del tratamiento. Todos ellos han suscrito el correspondiente acuerdo de encargo de tratamiento (DPA) y ofrecen garantías suficientes conforme al art. 28 RGPD:

• Supabase Inc. (base de datos y autenticación): Servidores en la UE (región eu-central-1). Acuerdo DPA suscrito.
• Vercel Inc. (alojamiento y entrega de la aplicación): Aloja y entrega la aplicación. Repliq no envía analítica de producto a Vercel; cualquier tratamiento técnico se rige por la configuración del despliegue y el DPA aplicable.
• Resend (envío de emails transaccionales y de alerta: confirmación de cuenta, recuperación de contraseña, avisos de reseñas críticas): Con sede en EE.UU. Transferencia internacional amparada en las Cláusulas Contractuales Tipo (CCT) adoptadas por Decisión de la Comisión Europea 2021/914.
• Stripe Payments Europe Ltd. (procesamiento de pagos): Entidad europea con sede en Irlanda. Cumple PCI-DSS Nivel 1. Transferencias a EE.UU. bajo Cláusulas Contractuales Tipo (CCT) de la Comisión Europea.
• OpenAI, LLC (modelos de lenguaje para generación de borradores de respuesta): Con sede en EE.UU. Transferencia internacional amparada en las Cláusulas Contractuales Tipo (CCT) adoptadas por Decisión de la Comisión Europea 2021/914. OpenAI no utiliza los datos procesados a través de la API para entrenar sus modelos (API Data Usage Policy, configuración empresarial). Solo se transfieren los textos de las reseñas y el prompt de generación; no se transfieren datos identificativos del usuario final más allá de lo estrictamente necesario.
• Google LLC (API de Business Profile): Acceso exclusivamente mediante OAuth 2.0 oficial y para la finalidad autorizada por el usuario. Google actúa como responsable independiente respecto a sus propios servicios. El acceso puede revocarse en cualquier momento desde myaccount.google.com/permissions.

Puedes solicitar copia de los acuerdos de encargo de tratamiento suscritos con los proveedores anteriores dirigiéndote a nuestro correo de contacto.

Implementamos medidas técnicas y organizativas conforme al art. 32 RGPD: cifrado TLS 1.3 en tránsito, AES-256-GCM para tokens OAuth en reposo, Row-Level Security (RLS) en base de datos, acceso por rol mínimo, hashing bcrypt para contraseñas, validación HMAC en webhooks, monitorización y auditoría. Los tokens de Google se pueden revocar en cualquier momento desde tu cuenta de Google. El plan de base de datos actual no incluye copias de seguridad con recuperación punto-en-el-tiempo (PITR); estamos evaluando activar esta capacidad a medida que crece el volumen de datos gestionado.

Como titular de los datos puedes ejercer en cualquier momento los derechos reconocidos por el RGPD y la LOPDGDD:

• •Acceso, rectificación, supresión, oposición, limitación y portabilidad.
• •Retirada del consentimiento sin efectos retroactivos.
• •No ser objeto de decisiones automatizadas con efectos jurídicos significativos.

Escríbenos a dsbusiness.global@gmail.com para ejercerlos. Si consideras que tu derecho no ha sido atendido correctamente, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (aepd.es).

Utilizamos cookies necesarias para mantener la sesión y recordar las preferencias de privacidad. Si aceptas la finalidad de analítica, podemos activar Google Analytics; si aceptas publicidad, podemos activar el Píxel de Meta y enviar a Meta eventos de conversión desde el servidor, incluidos pagos confirmados. Estos eventos pueden incluir identificadores publicitarios y datos de coincidencia, como el correo electrónico o el teléfono transformados mediante hash. El hash no convierte esos datos en anónimos. Puedes elegir cada finalidad por separado y retirar tu consentimiento desde «Preferencias de privacidad», también dentro de tu cuenta. La retirada impide nuevos envíos autorizados por esa decisión; no recupera datos ya enviados. Las preferencias se vinculan a este navegador y requieren renovación al caducar. La atribución de campañas y los eventos de producto enviados directamente a Repliq son tratamientos adicionales descritos en esta política; no equivalen por sí mismos a autorizar Google Analytics o Meta.

El servicio está dirigido a profesionales y empresas. No recopilamos conscientemente datos de menores de 14 años. Si detectamos uno, procederemos a su supresión inmediata.

Podemos actualizar esta política por motivos legales u operativos. Los cambios sustanciales se notificarán por email con al menos 15 días de antelación. La fecha de última actualización aparece al inicio de este documento.