Política de privacidad
Versión 1.4 · Vigente desde el
1. Quién es el responsable
- Responsable
- NOVATEDI DIXITAL S.L.
- NIF
- B32379554
- Domicilio
- Rúa Río Camba, 6C, bajo, 32001 Ourense (España)
- Contacto de privacidad
- info@novatedi.es
2. Dos situaciones distintas: tus datos y los datos de tus contactos
Tus datos de cuenta. Cuando creas una cuenta en MailToFlow, nos das tus datos de contacto, contratas un plan o usas el panel, nosotros somos los responsables de ese tratamiento. Esta política describe ese caso.
Los datos de tus contactos. Cuando subes tus contactos a la plataforma y les envías emails, tú eres el responsable de ese tratamiento y nosotros actuamos como encargados: tratamos esos datos únicamente siguiendo tus instrucciones, para prestarte el servicio, y nunca para fines propios. Las condiciones de ese encargo (artículo 28 del RGPD) están en el anexo de las Condiciones del servicio. Informar a tus contactos y contar con una base legal para escribirles es tu responsabilidad; el producto te ayuda a cumplirla incluyendo en cada email la identificación del remitente y un enlace de baja.
3. Qué datos tratamos
- Datos de cuenta: nombre y apellidos, dirección de correo electrónico, contraseña (guardada cifrada de forma irreversible), rol dentro de tu empresa y estado de verificación del email.
- Datos de tu empresa: nombre, sector, y los datos de perfil que decides completar (dirección, logotipo, enlaces, correo de respuesta) para identificarte como remitente en tus emails, como exige la ley.
- Datos de contratación y pago: plan contratado, periodo, estado de la suscripción, pagos realizados y créditos disponibles. Los datos completos de tu tarjeta o cuenta los trata exclusivamente nuestra pasarela de pago; nosotros nunca los almacenamos.
- Datos de uso y seguridad: fecha del último acceso, dirección IP en los registros de seguridad (inicios de sesión correctos y fallidos, cambios de contraseña y de usuarios) y eventos de uso del panel (por ejemplo, que has completado un paso de la puesta en marcha) que usamos para mejorar el producto.
- Textos que escribes en las funciones de inteligencia artificial: el texto que nos pides mejorar o generar y, si pides mejorar un diseño, el contenido de esa plantilla. Al proveedor de IA le enviamos ese texto, el sector de tu empresa y el tipo de mensaje; para el resumen semanal, solo cinco cifras agregadas de tu cuenta. No le enviamos tu base de contactos ni ningún contacto, el nombre de tu empresa, tu nombre, tu correo, tu dirección IP, tus cookies ni tus datos de pago. Antes de enviar el texto, y de nuevo antes de mostrarte la respuesta, sustituimos automáticamente los datos que reconocemos por su formato: DNI, NIE, NIF, direcciones de correo, teléfonos españoles, IBAN, números de tarjeta y números de la Seguridad Social. Ese filtro no reconoce nombres, apellidos ni direcciones postales. Si escribes en una función de inteligencia artificial datos de otras personas (clientes, empleados), eres tú quien decide tratarlos y nosotros los tratamos por tu encargo, igual que tus contactos (Anexo I de las Condiciones). Esas personas pueden ejercer sus derechos dirigiéndose a ti o, si lo prefieren, a nosotros en la dirección de contacto de esta política, y te trasladaremos su petición.
- Aceptación de las condiciones y del aviso sobre la inteligencia artificial: versión de los textos aceptada, fecha, dirección IP y navegador en el momento del registro, de cada contratación y de la primera vez que usas las funciones de inteligencia artificial, como prueba de la aceptación y de la información recibida.
El servicio está dirigido a empresas y profesionales. No está pensado para menores de 18 años y no tratamos a sabiendas datos de menores.
4. Para qué los usamos y con qué base legal
| Finalidad | Base legal |
|---|---|
| Crear y mantener tu cuenta, autenticarte y prestarte el servicio contratado. | Ejecución del contrato (art. 6.1.b RGPD). |
| Cobrar la suscripción y los paquetes de créditos, emitir y conservar la documentación de facturación. | Ejecución del contrato y cumplimiento de obligaciones legales, en particular fiscales (arts. 6.1.b y 6.1.c). |
| Proteger la plataforma: registros de seguridad con IP, límites de uso, bloqueo de accesos indebidos, prevención del fraude y del envío de correo no deseado. | Interés legítimo en la seguridad del servicio y de todos sus usuarios (art. 6.1.f). |
| Enviarte comunicaciones operativas: verificación de tu email, avisos sobre tu periodo de prueba, tu suscripción, un cobro fallido o cambios relevantes del servicio. | Ejecución del contrato (art. 6.1.b). No son comunicaciones comerciales. |
| Enviarte, en su caso, novedades sobre MailToFlow y productos propios similares. | Interés legítimo con la posibilidad de oponerte en cada envío (art. 6.1.f y art. 21.2 LSSI-CE). Nunca cederemos tu email a terceros para publicidad. |
| Medir el uso del panel de forma interna para mejorar el producto. | Interés legítimo (art. 6.1.f). No usamos herramientas de analítica de terceros. |
| Prestarte las funciones de inteligencia artificial que decidas usar. | Ejecución del contrato (art. 6.1.b). Son opcionales. |
5. Con quién compartimos los datos
No vendemos ni cedemos tus datos. Los tratan por nuestra cuenta, como encargados o subencargados, los proveedores que necesitamos para prestar el servicio. Esta lista está versionada y se actualiza junto con esta política; si incorporamos un nuevo encargado que trate tus datos te lo comunicaremos con 30 días de antelación para que puedas oponerte.
| Proveedor | Para qué | Dónde | Garantías |
|---|---|---|---|
| IONOS SE | Alojamiento de los servidores de la plataforma (aplicación, base de datos y motor de envío de emails, operado por nosotros) | Unión Europea (servidores en España) | Contrato de encargo del tratamiento. Sin transferencia internacional. |
| Mailrelay | Servidor de envío de correo electrónico (SMTP) por el que salen los emails | España | Contrato de encargo del tratamiento. Sin transferencia internacional. |
| OpenAI | Funciones opcionales de inteligencia artificial: propuestas de texto, asuntos, diseño de plantillas e imágenes (proveedor principal) | Estados Unidos | Contrato de encargo del tratamiento (su acuerdo de tratamiento de datos) con las cláusulas contractuales tipo aprobadas por la Comisión Europea para la transferencia. Solo recibe lo descrito en el apartado 2, con los datos que reconocemos por su formato sustituidos antes del envío; conserva lo recibido hasta 30 días, solo para detectar usos abusivos, y no lo usa para entrenar sus modelos. |
| Google (Gemini) | Funciones opcionales de inteligencia artificial, solo si OpenAI no está disponible: propuestas de texto, asuntos, diseño de plantillas e imágenes (proveedor de respaldo) | Estados Unidos | Google LLC está certificada en el Marco de Privacidad de Datos UE-EE. UU.; el contrato de encargo del tratamiento, con cláusulas contractuales tipo, se incorpora al contratar el nivel de pago de su servicio. Solo recibe lo descrito en el apartado 2, con los datos que reconocemos por su formato sustituidos antes del envío; conserva lo recibido hasta 55 días, solo para detectar usos abusivos, y no lo usa para entrenar sus modelos. |
| Pasarela de pago | Procesar el cobro de tu suscripción y de tus paquetes de créditos. | Entidad de pago autorizada en la Unión Europea. | Actúa como responsable de su propio tratamiento, sujeta a la normativa de servicios de pago. Nosotros solo recibimos el resultado del pago y los datos necesarios para identificarlo. |
El motor de envío y segmentación de emails y las herramientas de automatización se ejecutan en servidores operados por nosotros dentro de la Unión Europea; no son terceros. También podemos comunicar datos a las administraciones públicas, juzgados o autoridades cuando una obligación legal nos lo exija.
6. Transferencias internacionales
Tus datos de cuenta, tus contactos y tus emails permanecen en la Unión Europea. La única transferencia fuera de la UE se produce si utilizas las funciones de inteligencia artificial: en ese caso enviamos al proveedor que utilizamos (OpenAI o, si OpenAI no está disponible, Google) únicamente lo descrito en el apartado 2, con los datos personales que reconocemos por su formato sustituidos previamente, y nunca tu base de contactos. OpenAI trata esos datos como encargado bajo su acuerdo de tratamiento de datos, con las cláusulas contractuales tipo aprobadas por la Comisión Europea; Google LLC está certificada en el Marco de Privacidad de Datos UE-EE. UU. y, además, incorpora las cláusulas contractuales tipo en su contrato de encargo.
7. Cuánto tiempo conservamos los datos
- Datos de cuenta y de empresa: mientras tu cuenta esté activa. Tras la baja los conservamos 30 días para que puedas pedirnos una copia de tus datos y, después, los eliminamos. Puedes pedirnos la eliminación antes.
- Documentación de facturación: durante los plazos que exige la legislación mercantil y fiscal (con carácter general, seis años). Cuando das de baja tu cuenta, estos justificantes se conservan bloqueados y desvinculados de tu cuenta (no accesibles desde la aplicación): se guardan solo para cumplir esa obligación legal y no se usan para ninguna otra finalidad.
- Registros de seguridad (accesos a la cuenta, intentos de acceso fallidos, cambios y restablecimientos de contraseña, con la dirección IP desde la que se hacen): como máximo 30 días. Es el tiempo que necesitamos para detectar un acceso no autorizado, atender un incidente de seguridad o responder a una reclamación sobre un acceso concreto; pasado ese plazo los registros se eliminan de forma automática. Revisamos estos plazos al menos una vez al año.
- Textos y propuestas de las funciones de inteligencia artificial: no guardamos el texto que envías ni la respuesta del proveedor como tales (solo un registro técnico de cada llamada, sin su contenido). El resultado de una generación en segundo plano se conserva 24 horas; el resumen semanal, hasta la semana siguiente; y lo que decides incorporar a tus plantillas o campañas, como parte de ellas mientras existan. OpenAI conserva lo que recibe hasta 30 días y Google hasta 55 días, solo para detectar usos abusivos, y ninguno de los dos lo usa para entrenar sus modelos.
- Prueba de aceptación de las condiciones y del aviso sobre la inteligencia artificial: mientras dure la relación contractual y, después, durante el plazo de prescripción de las acciones legales.
8. Tus derechos
Puedes ejercer en cualquier momento tus derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición, así como retirar un consentimiento que hayas dado, escribiendo a info@novatedi.es con el asunto «Protección de datos» e indicando el email de tu cuenta. Si tenemos dudas razonables sobre tu identidad, podremos pedirte que la acredites. Responderemos en el plazo máximo de un mes desde la recepción de la solicitud, ampliable dos meses más en casos complejos, en cuyo caso te lo comunicaremos.
Desde el panel puedes, además, modificar tus datos de perfil y de empresa y gestionar los usuarios de tu cuenta. Si consideras que no hemos atendido correctamente tus derechos, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).
9. Decisiones automatizadas e inteligencia artificial
No tomamos decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos sobre ti o te afecten de modo similar. Las funciones de inteligencia artificial de MailToFlow son opcionales, proponen textos que tú revisas y decides, y todo contenido generado con ellas se identifica como tal dentro de la aplicación, conforme al Reglamento europeo de inteligencia artificial. Si incorporas a un email una imagen generada, te la entregamos tal como la devuelve el proveedor, sin modificarla, de modo que conserva las marcas de procedencia que el proveedor incluya. La primera vez que uses una función de inteligencia artificial, la aplicación te muestra un aviso con esta información y guarda tu aceptación.
10. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo: cifrado de las comunicaciones, contraseñas almacenadas con cifrado irreversible, aislamiento de los datos de cada cliente en la base de datos, control de acceso por roles, registros de seguridad y límites de uso frente a abusos. Si se produjera una violación de seguridad que pudiera afectar a tus derechos, te la comunicaremos y la notificaremos a la autoridad de control en los plazos que marca el RGPD.
11. Cambios en esta política
Cuando modifiquemos esta política de forma sustancial te lo comunicaremos por email o mediante un aviso en la aplicación antes de que el cambio entre en vigor. La versión y la fecha vigentes figuran al inicio de este documento.