Política de privacidad
Cómo tratamos tus datos personales en eFlow. La empresa responsable tiene su sede en Brasil y presta el servicio a clientes de la Unión Europea, por lo que se aplican conjuntamente la Ley brasileña n.º 13.709/2018 (LGPD) y el Reglamento (UE) 2016/679 (RGPD), junto con la Ley portuguesa n.º 58/2019 si resides en Portugal.
Última actualización: [EFFECTIVE DATE]
Los campos entre corchetes ([…]) esperan los datos oficiales de la empresa y se rellenan antes de la apertura al público.
Responsable del tratamiento
[COMPANY LEGAL NAME], sociedad brasileña con domicilio en [ADDRESS], Río de Janeiro, Brasil, CNPJ [CNPJ]. Es el controlador a efectos de la LGPD y el responsable del tratamiento a efectos del RGPD. Representante en la Unión Europea (artículo 27 del RGPD): [EU REPRESENTATIVE]. Delegado de protección de datos, que ejerce además de encargado previsto en el artículo 41 de la LGPD: [DPO NAME]. Contacto para asuntos de privacidad: [PRIVACY EMAIL].
Cómo recogemos los datos
Directamente de ti, cuando creas la cuenta, escribes instrucciones, subes fotografías, hablas con soporte o compras créditos. Automáticamente, cuando usas la aplicación: dirección IP, fecha y hora, páginas y operaciones, tipo de dispositivo y navegador, registros de error. De terceros: de Stripe recibimos el estado del pago e identificadores de la transacción, nunca el número de la tarjeta; de Google, si eliges iniciar sesión con esa cuenta, recibimos tu nombre, dirección de correo e identificador de cuenta.
Qué datos tratamos
Cuenta: nombre, dirección de correo, contraseña cifrada, idioma, profesión indicada, rol en la plataforma, estado de verificación del correo. Contenido: fotografías y textos que subes, instrucciones que escribes, resultados generados, proyectos y conversaciones con el asistente. Las fotografías de inmuebles pueden contener personas identificables, matrículas y señalización; tú decides qué subes. Facturación: plan, historial de suscripción, facturas e identificadores de Stripe. No recibimos el número de la tarjeta. Seguridad: el prefijo de la red desde la que inicias sesión, usado para reconocer conexiones ya aprobadas, y el historial de aprobaciones de acceso. Técnicos: dirección IP, registros de acceso y de error, fecha y hora de las operaciones, tipo de dispositivo y navegador.
Finalidades y bases jurídicas
Prestación del servicio, gestión de la cuenta y procesamiento de generaciones: ejecución del contrato (artículo 6.1.b del RGPD; artículo 7, V de la LGPD). Verificación de la dirección de correo y aprobación de accesos desde redes nuevas: ejecución del contrato e interés legítimo en la seguridad de la cuenta (artículo 6.1.f del RGPD; artículo 7, IX de la LGPD). Facturación, contabilidad y obligaciones fiscales: cumplimiento de una obligación legal (artículo 6.1.c del RGPD; artículo 7, II de la LGPD). Seguridad, prevención del fraude y mejora del servicio: interés legítimo (artículo 6.1.f del RGPD; artículo 7, IX de la LGPD). Cookies no esenciales y comunicaciones de marketing: consentimiento (artículo 6.1.a del RGPD; artículo 7, I de la LGPD), revocable en cualquier momento.
Encargados y destinatarios
Stripe Payments Europe y sociedades del grupo Stripe: procesamiento de pagos y emisión de facturas. Reciben tu nombre, correo y datos de la transacción. Amazon Web Services: alojamiento de la aplicación, base de datos y almacenamiento de los archivos, en región de la Unión Europea. Recibe todos los datos como encargado. Resend: envío de los correos transaccionales (verificación del correo, aprobación de acceso, restablecimiento de contraseña, avisos de facturación). Recibe tu dirección de correo y el contenido del mensaje. OpenRouter: generación y retoque de imagen y vídeo, y enrutado de los mensajes del eFlow Assistant hacia los modelos de lenguaje. Recibe las fotografías que subes, las instrucciones que escribes y el texto de la conversación, y los envía a los modelos que producen el resultado. Lee esta parte con claridad: tus fotografías salen de nuestra infraestructura y se transmiten a este proveedor para producir el resultado que has pedido. Google: si eliges iniciar sesión con Google y —solo con tu consentimiento para las cookies opcionales— Google Analytics 4, que recibe las páginas que ves, la dirección IP truncada y datos del dispositivo y del navegador. Sin ese consentimiento no se carga. PostHog: analítica de uso del producto, alojado en los Estados Unidos, y solo con tu consentimiento para las cookies opcionales. Recibe las páginas que ves y las acciones que realizas (crear un proyecto, pedir un plan, iniciar un pago), tu identificador interno de usuario y el de tu cuenta de facturación, el plan y datos del dispositivo y del navegador. Nunca recibe tu nombre, tu correo, tus briefings ni tus fotografías. Todos actúan como encargados del tratamiento, u operadores en el sentido de la LGPD, bajo contratos de tratamiento de datos. No vendemos ni compartimos datos personales con fines publicitarios, y no usamos tu contenido para entrenar modelos propios.
Transferencias internacionales
La empresa responsable tiene su sede en Brasil. Los datos de clientes de la Unión Europea se transfieren, por tanto, fuera del Espacio Económico Europeo. Brasil no cuenta con una decisión de adecuación de la Comisión Europea. Esa transferencia se apoya en las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914, acompañadas de una evaluación de impacto de la transferencia y de las medidas técnicas descritas en la sección de seguridad. El alojamiento principal y el almacenamiento de los archivos están en una región de la Unión Europea de Amazon Web Services. Algunos proveedores tratan datos fuera de la Unión Europea y de Brasil, sobre la base de una decisión de adecuación o de esas mismas cláusulas contractuales tipo. Del lado brasileño, las transferencias internacionales siguen los artículos 33 a 36 de la LGPD y las cláusulas estándar aprobadas por la Resolución CD/ANPD n.º 19/2024.
Plazos de conservación
Cuenta y contenidos: mientras exista la cuenta. Puedes pedir la eliminación dentro de la aplicación. Tras la solicitud hay un periodo de gracia de 7 días, pasado el cual el contenido se borra y la cuenta se anonimiza. Registros de facturación y pago: 5 años, por los plazos de caducidad y prescripción del Código Tributario Nacional brasileño. Los registros de las ventas declaradas en el régimen de ventanilla única de la Unión Europea se conservan 10 años, según exige el artículo 63 quater del Reglamento de Ejecución (UE) n.º 282/2011. Registros técnicos de seguridad y de acceso: hasta 12 meses. Los registros de aplicación exigidos por el artículo 15 del Marco Civil de Internet brasileño se conservan 6 meses. Una vez vencidos esos plazos, los datos se eliminan o se anonimizan de forma irreversible.
Tus derechos
Bajo el RGPD tienes derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, y a retirar el consentimiento en cualquier momento sin afectar a la licitud del tratamiento anterior (artículos 15 a 22). Bajo la LGPD tienes además derecho a la confirmación de que existe tratamiento, a saber con quién compartimos los datos, a la revisión de decisiones automatizadas y a ser informado de la posibilidad de no consentir (artículo 18). Ejerces cualquiera de ellos por correo a [PRIVACY EMAIL]. Respondemos en el plazo de un mes, prorrogable dos meses en casos complejos; las solicitudes al amparo de la LGPD se responden en 15 días. Puedes reclamar ante la Agencia Española de Protección de Datos, ante la autoridad de control de tu Estado miembro, ante la CNPD portuguesa, y en Brasil ante la Autoridad Nacional de Protección de Datos (ANPD).
Seguridad
La sesión se mantiene con una cookie HttpOnly, el tráfico se sirve por HTTPS y las contraseñas se guardan con funciones de derivación de clave. Los archivos se sirven mediante enlaces firmados de validez limitada. La dirección de correo se verifica con un enlace válido 24 horas. El inicio de sesión desde una red que la cuenta nunca ha usado exige una aprobación por correo, válida 30 minutos. Ambas solicitudes tienen límites de frecuencia. Ningún sistema es completamente seguro. En caso de violación de datos que implique un riesgo alto, te lo notificamos a ti y a las autoridades competentes, incluidas la CNPD y la ANPD, en los plazos legales.
Inteligencia artificial y decisiones automatizadas
El contenido lo generan automáticamente modelos de terceros a partir de lo que subes. Esto no constituye una decisión automatizada con efectos jurídicos o impacto significativo sobre ti en el sentido del artículo 22 del RGPD ni del artículo 20 de la LGPD. No elaboramos perfiles con fines publicitarios. Si alguna vez introducimos un tratamiento automatizado con efectos sobre ti, te lo comunicaremos y garantizaremos revisión humana.
Menores
El servicio está dirigido a profesionales y no se dirige a menores de 18 años. No recogemos conscientemente datos de menores. Si sabes que un menor ha creado una cuenta, escribe a [PRIVACY EMAIL] y eliminaremos los datos. Si subes fotografías en las que aparezcan niños o adolescentes, se aplica el artículo 14 de la LGPD y el interés superior del menor: asegúrate de tener autorización para hacerlo.
Cambios en esta política
Podemos actualizar esta política. Los cambios relevantes se comunican por correo o dentro de la aplicación con al menos 30 días de antelación, y la fecha de última actualización en la cabecera de la página cambia siempre. Si el cambio implica un nuevo tratamiento basado en tu consentimiento, te lo pedimos antes de empezar.
Contacto y reclamaciones
Privacidad: [PRIVACY EMAIL]. Soporte general: [SUPPORT EMAIL]. Dirección postal: [ADDRESS], Río de Janeiro, Brasil. Representante en la Unión Europea: [EU REPRESENTATIVE].