3.1. Datos de los Usuarios de la Plataforma

Durante el registro y el uso de la Plataforma recopilamos:

• Datos identificativos: nombre, apellidos, dirección de correo electrónico
• Datos de la empresa: razón social, NIF, dirección
• Datos de acceso: contraseña (almacenada únicamente como hash criptográfico), tokens de sesión
• Datos técnicos: dirección IP, datos del navegador, sistema operativo
• Datos relativos a la suscripción y los pagos

3.2. Datos de las Plataformas de E-commerce Conectadas

De los sistemas de e-commerce (WooCommerce, Magento, Shoper, Shopify, IdoSell, RedCart, PrestaShop, SkyShop):

• Datos de transacciones: número de pedido, fecha, estado, importe del pedido
• Datos de productos: ID de producto, nombre, precio, categoría, stock, variantes
• Datos de los clientes finales en forma seudonimizada, en el alcance descrito en el punto 3.6
• Información sobre métodos de pago y envío (sin credenciales)
• Códigos de cupones de descuento e información sobre promociones

De marketplaces:

• Datos de ofertas y productos
• Datos de transacciones y pedidos
• Datos sobre costes, tarifas, comisiones y bonificaciones
• Información sobre categorías y precios

3.3. Datos de las Plataformas Publicitarias

Google Ads:

• Estadísticas de campañas: impresiones, clics, conversiones
• Costes publicitarios y datos de rendimiento de las campañas
• Términos de búsqueda y datos de grupos de anuncios

La descripción detallada de los datos procedentes de los servicios de Google figura en la Sección 4 (Datos de Usuarios de Google).

Meta Ads (Facebook, Instagram):

• Estadísticas de las campañas publicitarias
• Datos de interacción y alcance
• Costes y resultados de conversión

TikTok Ads:

• Datos de las campañas publicitarias
• Estadísticas de reproducciones e interacción
• Información sobre costes y conversiones

Criteo y Tradetracker:

• Datos sobre comisiones de afiliación
• Estadísticas de campañas de remarketing

3.4. Datos de Google Analytics

• Estadísticas de sesiones
• Eventos de e-commerce
• Rutas de navegación y fuentes de tráfico

La descripción completa de los datos procedentes de los servicios de Google figura en la Sección 4 (Datos de Usuarios de Google).

3.5. Datos que la Plataforma NO Recopila

La dirección de correo electrónico y el número de teléfono del cliente final se guardan únicamente como hash criptográfico (véase el punto 3.6).

3.6. Datos de los Clientes Finales de las Tiendas (encargo del tratamiento)

Por cuenta del Cliente, como encargado del tratamiento, tratamos los siguientes datos asociados a los pedidos:

• identificador del cliente asignado por la plataforma de la tienda
• hash criptográfico de la dirección de correo electrónico y del número de teléfono
• marcadores de campañas de marketing (p. ej., UTM, gclid, fbclid)

Se trata de datos personales en forma seudonimizada, tratados exclusivamente para prestar al Cliente el Servicio de analítica (p. ej., análisis de clientes nuevos y recurrentes), en las condiciones establecidas en el § 9 de los Términos y condiciones. El responsable de estos datos es el Cliente.

4.1. Qué datos de usuarios de Google obtenemos

Una vez que usted concede la autorización (OAuth 2.0), obtenemos acceso exclusivamente en modo de solo lectura (read-only) a los siguientes datos de sus cuentas de Google:

• Google Ads: estadísticas de campañas (impresiones, clics, conversiones), costes publicitarios, términos de búsqueda, datos de grupos de anuncios y rendimiento de las campañas
• Google Analytics (GA4): datos de sesiones, eventos de e-commerce, fuentes de tráfico y rutas de navegación
• Google Merchant Center: datos de los productos del feed, estado de aprobación de las ofertas, visibilidad y competitividad de precios
• Google Search Console: datos de rendimiento en el buscador (consultas, páginas, clics, impresiones)

4.2. Cómo utilizamos los datos de usuarios de Google

Utilizamos los datos de usuarios de Google exclusivamente para prestar y mejorar las funciones de la Plataforma visibles para el usuario, es decir, para analizar y visualizar los resultados de marketing y ventas en sus paneles de análisis de DataOrganizer.

4.3. Con quién compartimos, a quién transferimos o comunicamos los datos de usuarios de Google

Los datos de usuarios de Google solo pueden compartirse con las siguientes categorías de destinatarios:

• Encargados del tratamiento (subencargados) necesarios para prestar el Servicio, en particular el proveedor de infraestructura en la nube Google Cloud Platform, en la que está alojada la Plataforma, que actúan exclusivamente siguiendo nuestras instrucciones documentadas en virtud de contratos de encargo del tratamiento conforme al art. 28 del RGPD.
• Proveedor de servicios de IA: las funciones de análisis basadas en inteligencia artificial se realizan con Anthropic (modelo Claude) como encargado del tratamiento, a través de la API de Anthropic, con tratamiento en servidores de EE. UU. sobre la base de cláusulas contractuales tipo. Los datos transferidos a este proveedor, que pueden incluir datos procedentes de los servicios de Google, no se utilizan para entrenar modelos de IA.
• Autoridades públicas, únicamente cuando lo exija de forma ineludible la legislación vigente o un requerimiento firme (p. ej., de las fuerzas de seguridad).
• Colaboradores autorizados dentro de nuestra organización, con acceso restringido («need to know») y sujetos a obligación de confidencialidad.

4.4. Cumplimiento de la Google API Services User Data Policy (Limited Use)

En la versión original (en): DataOrganizer’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, incluidos los requisitos de uso limitado (Limited Use).

4.5. Alcance mínimo de acceso (ámbitos mínimos / OAuth scopes)

Solicitamos únicamente los ámbitos de permisos mínimos (OAuth scopes) necesarios para el funcionamiento de la Plataforma y solo en modo de solo lectura (read-only). No solicitamos acceso a datos ni permisos que vayan más allá de lo necesario para analizar los datos de marketing y ventas. No solicitamos ámbitos «por si acaso» ni para funciones que aún no se han implementado.

4.6. Protección de los datos de usuarios de Google

Los datos de usuarios de Google están sujetos a las mismas medidas de seguridad descritas en la Sección 9, incluido el cifrado en tránsito (TLS) y en reposo (AES-256), el control de acceso y el registro de las operaciones administrativas. Los tokens de acceso (OAuth) se almacenan en una base de datos protegida en la infraestructura de Google Cloud, cifrada en reposo.

4.7. Conservación y eliminación de los datos de usuarios de Google

• Conservamos los datos de usuarios de Google únicamente mientras la integración esté activa.
• Tras desconectar la integración (revocar la autorización) o a petición suya, los datos se eliminan en un plazo de 30 días; de las copias de seguridad, en un plazo de 90 días.
• Puede revocar la autorización en cualquier momento en la configuración de su cuenta de DataOrganizer o en la página de permisos de su cuenta de Google: myaccount.google.com/permissions.

4.8. Complemento para Google Workspace (Google Apps Script)

El complemento de DataOrganizer para Google Workspace está desarrollado con Google Apps Script y utiliza los siguientes ámbitos de permisos:

• script.scriptapp: permite que el complemento actúe en su nombre, incluida la creación y gestión de activadores (p. ej., actualización automática y periódica de los datos);
• script.container.ui: permite mostrar la interfaz del complemento (panel lateral, cuadros de diálogo) dentro de las aplicaciones de Google;
• script.external_request: permite al complemento conectarse a la API externa de DataOrganizer para obtener sus datos analíticos y mostrarlos en el complemento.

El complemento no lee otros archivos ni documentos de Google suyos más allá de lo necesario para las funciones descritas anteriormente.

5.1. Prestación del servicio analítico

Finalidad: Análisis y visualización de datos de e-commerce para que los usuarios puedan supervisar los resultados de su negocio.

Base jurídica:

• Art. 6.1.b) RGPD: ejecución de un contrato (prestación del servicio DataOrganizer)
• Art. 6.1.f) RGPD: interés legítimo consistente en garantizar el funcionamiento de la Plataforma

Los datos de los clientes finales (apartado 3.6) los tratamos siguiendo las instrucciones del Cliente como responsable del tratamiento, sobre la base de un contrato de encargo del tratamiento (art. 28 RGPD, § 9 de los Términos y Condiciones).

5.2. Gestión de la cuenta de usuario

Finalidad: Creación y gestión de la cuenta de usuario, autenticación y comunicación.

Base jurídica: Art. 6.1.b) RGPD: ejecución de un contrato.

5.3. Facturación y pagos

Finalidad: Gestión de suscripciones, facturación y procesamiento de pagos.

Base jurídica:

• Art. 6.1.b) RGPD: ejecución de un contrato
• Art. 6.1.c) RGPD: obligación legal (normativa fiscal y contable)

5.4. Soporte técnico

Finalidad: Prestación de asistencia técnica, resolución de incidencias y comunicación con los usuarios.

Base jurídica: Art. 6.1.b) y f) RGPD.

5.5. Seguridad y detección de abusos

Finalidad: Garantizar la seguridad de la Plataforma, detectar y prevenir abusos.

Base jurídica: Art. 6.1.f) RGPD: interés legítimo (seguridad de los sistemas).

5.6. Análisis y mejora del servicio

Finalidad: Análisis del uso de la Plataforma, desarrollo de funcionalidades y optimización del rendimiento.

Base jurídica: Art. 6.1.f) RGPD: interés legítimo.

5.7. Marketing (con su consentimiento)

Finalidad: Envío de la newsletter, información sobre nuevas funciones y ofertas promocionales.

Base jurídica: Art. 6.1.a) RGPD: consentimiento voluntario (que puede retirarse en cualquier momento).

Realizamos acciones de marketing únicamente a partir de los datos de contacto de los usuarios de la Plataforma. No utilizamos datos de usuarios de Google para actividades de marketing (véase la Sección 4.2).

6.1. Datos de los usuarios de la Plataforma

Durante la vigencia del contrato: Los datos se conservan mientras se utilice la Plataforma.

Tras la finalización del contrato:

• Datos necesarios para la facturación: 5 años (conforme a la normativa fiscal)
• Datos de comunicación con soporte: 3 años
• Resto de datos: 30 días desde la desactivación de la cuenta

6.2. Datos de plataformas conectadas

• Mientras la integración está activa: datos sincronizados una vez al día
• Tras desconectar la integración o cerrar la cuenta: datos eliminados en un plazo de 30 días
• El usuario puede solicitar la eliminación anticipada de los datos
• Copias de seguridad: datos eliminados de las copias en un plazo máximo de 90 días

Las normas detalladas de conservación y eliminación de los datos de usuarios de Google se describen en la Sección 4.7.

6.3. Interacciones con funciones de IA

Las interacciones con las funciones de IA (historial de conversaciones) se conservan para prestar el servicio y para desarrollarlo y mejorarlo, durante un máximo de 12 meses desde su creación, tras lo cual se eliminan automáticamente. Si la cuenta se cierra antes, se eliminan junto con los datos de la cuenta.

7.1. Infraestructura principal

Google Cloud Platform (GCP), región Europa:

• Datos analíticos: región europe-west1 (Bélgica)
• Datos de la aplicación: región europe-central2 (Varsovia)
• Copias de seguridad: en las mismas regiones
• Parte de los datos sobre el uso de la Plataforma puede almacenarse en la multirregión UE, exclusivamente dentro de la Unión Europea

7.2. Cumplimiento del RGPD

Todos los datos principales se almacenan dentro de la Unión Europea en una infraestructura que cuenta con las certificaciones ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018 y SOC 2/SOC 3.

7.3. Transferencias de datos fuera del EEE

De forma limitada, los datos pueden transferirse fuera del Espacio Económico Europeo:

• en el marco de las funciones de IA: a Anthropic (EE. UU.), sobre la base de cláusulas contractuales tipo aprobadas por la Comisión Europea
• por parte de Google y sus subencargados (p. ej., en el marco del soporte técnico), sobre la base de cláusulas contractuales tipo
• en el marco de la gestión de pagos: a Stripe, Inc. (EE. UU.), sobre la base del Marco de Privacidad de Datos UE-EE. UU. y de cláusulas contractuales tipo

Lista de países con decisión de adecuación: commission.europa.eu

8.1. Encargados del tratamiento

• Proveedor de infraestructura en la nube: Google Cloud Platform
• Proveedor de servicios de IA: Anthropic (modelo Claude), para las funciones analíticas basadas en IA; al proveedor se le envía el contenido de la consulta y los resultados de los informes procesados, en los que los clientes finales aparecen únicamente como un hash criptográfico; los datos no se utilizan para entrenar modelos
• Operador de pagos: Stripe (en la medida necesaria para gestionar las suscripciones)
• Proveedor de correo electrónico y herramientas ofimáticas: Google Workspace
• Colaboradores de DATADIARY sujetos a acuerdos de confidencialidad

La lista actualizada de subencargados del tratamiento figura en el Anexo n.º 1 de los Términos y Condiciones.

8.2. Destinatarios legalmente autorizados

Los datos pueden comunicarse a autoridades públicas cuando así lo exija la ley (p. ej., autoridades tributarias o fuerzas y cuerpos de seguridad).

8.3. Sin venta ni cesión con fines publicitarios

8.4. Fuentes de datos

8.5. Contratos de encargo del tratamiento

Con todas las entidades que tratan datos en nuestro nombre suscribimos contratos de encargo del tratamiento de datos personales conforme al art. 28 RGPD.

9.1. Medidas técnicas

Cifrado:

• Transmisión de datos: TLS
• Almacenamiento de datos: AES-256
• Contraseñas de usuario: almacenadas únicamente como hash criptográfico, en un servicio de autenticación protegido (no almacenamos contraseñas en texto plano)
• Tokens de acceso a integraciones: almacenados en una base de datos protegida en la infraestructura de Google Cloud, cifrada en reposo

Control de acceso:

• Autenticación de dos factores (2FA) obligatoria para las cuentas del equipo de DATADIARY con acceso a la infraestructura
• Autenticación de dos factores (2FA) para usuarios de la Plataforma: prevista
• Bloqueo temporal del inicio de sesión tras varios intentos fallidos
• Principio de mínimo privilegio
• Registros de acceso y auditoría de actividades

Protección de la infraestructura:

• Separación de los datos de cada Cliente en bases de datos independientes
• Infraestructura gestionada de Google Cloud
• Notificaciones automáticas de errores y anomalías en el funcionamiento del servicio
• Copias de seguridad automáticas diarias y pruebas periódicas de restauración

9.2. Medidas organizativas

• Política de seguridad de la información
• Compromiso de los colaboradores de cumplir la política de seguridad de la información
• Procedimientos de respuesta ante incidentes
• Acceso restringido a los datos personales (según el principio de «necesidad de conocer»)
• Acuerdos de confidencialidad con los colaboradores

9.3. Certificaciones y auditorías

La infraestructura se basa en Google Cloud Platform, que cuenta con las certificaciones ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018 y SOC 2 Type II.

10.1. Derecho de acceso (art. 15 RGPD)

• Confirmación de si tratamos sus datos personales
• Copia de los datos personales tratados
• Información sobre los fines del tratamiento, las categorías de datos y los destinatarios

Cómo ejercerlo: contact@dataorganizer.io

10.2. Derecho de rectificación (art. 16 RGPD)

Puede solicitar la corrección de datos inexactos o completar los incompletos directamente en la configuración de la cuenta o escribiendo a contact@dataorganizer.io.

10.3. Derecho de supresión: «derecho al olvido» (art. 17 RGPD)

Puede solicitar la supresión de sus datos cuando: ya no sean necesarios para los fines del tratamiento, se haya retirado el consentimiento, se haya presentado oposición o los datos se traten de forma ilícita.

10.4. Derecho a la limitación del tratamiento (art. 18 RGPD)

Puede solicitar la limitación del tratamiento de sus datos en determinadas situaciones (p. ej., mientras se verifica la exactitud de los datos).

10.5. Derecho a la portabilidad de los datos (art. 20 RGPD)

Tiene derecho a recibir sus datos en un formato estructurado y de uso común (CSV o Parquet), en las condiciones establecidas en el § 14 de los Términos y Condiciones.

10.6. Derecho de oposición (art. 21 RGPD)

Puede oponerse al tratamiento de sus datos por motivos relacionados con su situación particular o al tratamiento con fines de marketing directo (en cualquier momento y sin condiciones).

10.7. Derecho a retirar el consentimiento (art. 7.3 RGPD)

Si el tratamiento se basa en el consentimiento, puede retirarlo en cualquier momento sin que ello afecte a la licitud del tratamiento anterior. Puede revocar la autorización de acceso a los servicios de Google en la configuración de su cuenta de DataOrganizer o en myaccount.google.com/permissions.

10.8. Derecho a presentar una reclamación (art. 77 RGPD)

10.9. Ejercicio de los derechos

Plazo de respuesta: Hasta 30 días desde la recepción de la solicitud (prorrogable otros 60 días, previa notificación). El ejercicio de los derechos es, por regla general, gratuito.

10.10. Datos de los clientes finales de las tiendas

Las solicitudes relativas a los datos de los clientes finales de las tiendas (apartado 3.6) deben dirigirse al propietario de la tienda como responsable de dichos datos. DATADIARY asiste al responsable en su tramitación.

11.1. ¿Qué son las cookies?

Las cookies son pequeños archivos de texto enviados por el servidor y almacenados en el dispositivo del usuario, que permiten reconocer el navegador en visitas posteriores.

11.2. ¿Qué cookies utilizamos?

Cookies necesarias (no requieren consentimiento):

• Autenticación y gestión de la sesión
• Seguridad (protección CSRF)
• Funcionalidad básica de la Plataforma

Cookies estadísticas (requieren consentimiento):

• Google Analytics (medición del tráfico, estadísticas de uso)
• Análisis del rendimiento de la Plataforma

Cookies de preferencias (requieren consentimiento):

• Memorización de la configuración del usuario
• Idioma de la interfaz, preferencias de visualización

Cookies de marketing (requieren consentimiento):

• Seguimiento de conversiones de campañas publicitarias
• Remarketing, personalización de contenidos de marketing

11.3. Base jurídica

• Cookies necesarias: art. 6, apdo. 1, letra f) del RGPD (interés legítimo)
• Resto de cookies: art. 6, apdo. 1, letra a) del RGPD (consentimiento del usuario)

11.4. Gestión de cookies

Al acceder al sitio se muestra un panel en el que puede aceptar todas las cookies, rechazarlas todas (salvo las necesarias) o ajustar la configuración de cada categoría. La configuración puede modificarse en cualquier momento haciendo clic en el icono situado en la esquina inferior izquierda de la página.

11.5. Plazo de conservación

• Cookies de sesión: hasta que se cierra el navegador
• Cookies persistentes: según su fecha de caducidad (máximo 24 meses)

13.1. Integración con Shopify

Alcance de los datos: datos de pedidos (importe, estado, fecha), datos de productos (ID, nombre, precio, variantes, categorías) y datos de clientes finales exclusivamente en forma seudonimizada, en los términos descritos en el punto 3.6.

Autorización: OAuth 2.0 por parte del propietario de la tienda. Eliminación de datos: tras desinstalar la aplicación o previa solicitud, en un plazo de 30 días. Cumplimiento: Shopify API Terms of Service y GDPR Requirements.

13.2. Integración con WooCommerce

Datos transaccionales y de productos, así como datos de clientes finales en forma seudonimizada (punto 3.6), obtenidos a través de la WooCommerce REST API. Autorización: claves API generadas por el propietario de la tienda en el panel de WooCommerce.

13.3. Integración con Google Ads, Google Analytics, Google Merchant Center y Google Search Console

Datos de campañas publicitarias, estadísticas de tráfico, datos del feed de productos y rendimiento en el buscador. Autorización: OAuth 2.0 en modo de solo lectura. Cumplimiento de Google Ads API Terms, Google Analytics Terms of Service y Google API Services User Data Policy (incluido Limited Use). Descripción completa en la Sección 4.

13.4. Integración con Meta Ads

Estadísticas de campañas de Facebook e Instagram. Autorización: OAuth de Facebook Business Manager. Cumplimiento de Meta Platform Terms y Business Tools Terms.

13.5. Otras integraciones

Se aplican principios similares a las integraciones con: Magento, Shoper, IdoSell, RedCart, PrestaShop, SkyShop, marketplaces, TikTok Ads, Criteo y Tradetracker.

14.1. Derechos de los residentes en California (CCPA)

Si reside en California, dispone de derechos adicionales conforme a la California Consumer Privacy Act:

• Derecho a ser informado sobre los datos recopilados
• Derecho a la eliminación de los datos
• Derecho a oponerse a la «venta» de datos (no vendemos datos)
• Derecho a la no discriminación

Contacto: contact@dataorganizer.io con el asunto «CCPA Request»

14.2. Derechos de los residentes en el Reino Unido (UK GDPR)

Aplicamos estándares de protección de datos conformes al UK GDPR. Autoridad de control: Information Commissioner’s Office (ICO), ico.org.uk.

16.1. Actualizaciones

Nos reservamos el derecho a actualizar la presente Política de Privacidad para reflejar cambios en la legislación, en la funcionalidad de la Plataforma o en las prácticas de tratamiento de datos. Informaremos a los usuarios con antelación de cualquier cambio en el uso de los datos de usuarios de Google.

16.2. Notificaciones

Comunicaremos los cambios relevantes mediante notificación por correo electrónico (con 30 días de antelación), un aviso en la Plataforma y la fecha actualizada de «Última actualización» al principio del documento. Las versiones anteriores de la Política están disponibles en un archivo junto con sus periodos de vigencia.

16.3. Aceptación de los cambios

El uso continuado de la Plataforma tras la introducción de cambios implica la aceptación de la Política actualizada. En caso de cambios relevantes, podremos solicitar un nuevo consentimiento.

18.1. Idioma

La Política de Privacidad está disponible en polaco y en inglés. En caso de discrepancia, prevalecerá la versión polaca.

18.2. Legislación aplicable

La presente Política y todas las cuestiones relacionadas con ella se rigen por la legislación polaca.

18.3. Divisibilidad

Si alguna disposición de la Política se declara nula o inaplicable, las demás disposiciones mantendrán plena vigencia.

18.4. Documentos relacionados

La presente Política de Privacidad debe leerse junto con:

• el Reglamento de la Plataforma DataOrganizer, en particular el § 9 (encargo del tratamiento de datos), el § 13 (seguridad) y el § 14 (exportación y eliminación de datos)
• las Condiciones de Prestación del Servicio (Terms of Service)