Política de Privacidad_
Última actualización: 12 de octubre de 2026
1. Responsable del Tratamiento
El responsable del tratamiento de sus datos personales es: Sergio García de Marina Maroto — NIF: 05689212R — Domicilio: Calle Arrayanes, 31, 13005 Ciudad Real, España — Correo electrónico de contacto para privacidad: sergio@boty.agency
2. Datos que Recopilamos y Finalidades
Recopilamos los siguientes datos según la finalidad: (a) Registro de cuenta — nombre, dirección de correo electrónico y contraseña; base legitimadora: ejecución del contrato. (b) Autenticación OAuth (Google / GitHub) — identificador de proveedor, nombre y email; base legitimadora: ejecución del contrato. (c) Procesamiento de pagos — datos de facturación gestionados íntegramente por Stripe; no almacenamos datos de tarjeta; base legitimadora: ejecución del contrato. (d) Medición de audiencia — analítica agregada y anónima mediante Umami (autoalojado, sin cookies ni identificadores persistentes); finalidad: medir el tráfico del sitio de forma agregada; base legitimadora: interés legítimo (art. 6.1.f RGPD). (e) Correos del servicio — dirección de correo y nombre para enviarte la confirmación de tu correo, el restablecimiento de contraseña, las invitaciones de equipo y los avisos de tu cuenta; base legitimadora: ejecución del contrato. (f) Asistente del sitio (opcional) — el texto que escribes en el asistente se envía a un proveedor de inteligencia artificial para generar la respuesta; tus conversaciones se guardan en tu navegador, no en nuestra cuenta; no escribas datos personales en él; base legitimadora: tu solicitud al usarlo.
3. Encargados y Terceros
Contamos con los siguientes encargados del tratamiento: Stripe Inc. (procesamiento de pagos, EE. UU.); Resend (envío de los correos del servicio, EE. UU.); OpenRouter y Anthropic (proveedores de inteligencia artificial que generan las respuestas del asistente del sitio y de las funciones de IA de los productos, EE. UU.); Google LLC y GitHub Inc. (autenticación OAuth, únicamente cuando el usuario elige iniciar sesión con dichos proveedores); Vercel Inc. (EE. UU. — alojamiento e infraestructura de la plataforma); Supabase (base de datos donde se almacenan los datos de cuenta); y netcup GmbH (Alemania — servidor que aloja nuestros servicios propios, como la analítica Umami autoalojada). Las transferencias a EE. UU. se explican en la sección 4. No vendemos ni cedemos sus datos a terceros con fines comerciales. Las fuentes tipográficas se sirven desde nuestro propio dominio: no se comunica tu dirección IP a ningún proveedor de fuentes.
4. Transferencias Internacionales
Parte de nuestra infraestructura implica transferencias a los Estados Unidos: Stripe (pagos), Resend (correo), OpenRouter y Anthropic (inteligencia artificial) y Vercel Inc. (alojamiento de la plataforma). Se realizan con las garantías previstas en el RGPD, como las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea o la certificación del proveedor en el Marco de Privacidad de Datos UE-EE. UU., y con los acuerdos de tratamiento de datos que cada proveedor ofrece. Las autenticaciones vía Google y GitHub se realizan, cuando el usuario las utiliza, con proveedores que disponen de garantías adecuadas reconocidas por la normativa europea. Por tanto, no todo el tratamiento se realiza en la Unión Europea; las transferencias a EE. UU. descritas cuentan con las salvaguardas legales correspondientes.
5. Plazos de Conservación
Conservamos sus datos personales mientras su cuenta permanezca activa. Tu cuenta se desactiva al momento; puedes cancelar la eliminación durante 7 días y, como máximo, a los 30 días está todo borrado salvo lo bloqueado. Se borra: Tu perfil (nombre, correo, foto), tus credenciales y tus sesiones. Los espacios de trabajo que solo gestionabas tú y todos sus datos (clientes, citas, publicaciones, listas, conversaciones). Se conserva bloqueado: Durante 6 años desde la fecha del documento, bloqueados (sin mostrarse ni tratarse, solo accesibles para una autoridad que los requiera): registros de facturación y de pago; las facturas que Boty te ha emitido; los registros sellados de Boty Invoice con su cadena. Base: Código de Comercio, art. 30 (6 años); el plazo de prescripción tributaria de 4 años (LGT, art. 66) queda dentro. Durante 3 años desde la fecha del documento, bloqueados (sin mostrarse ni tratarse, solo accesibles para una autoridad que los requiera): las pruebas de consentimiento; la propia solicitud de eliminación, con lo que se borró y cuándo. Base: plazo máximo de prescripción de las infracciones de protección de datos (LOPDGDD, arts. 72-74): acreditar el consentimiento y la tramitación de la solicitud. Cuando termina cada plazo, el registro bloqueado se elimina.
6. Derechos RGPD
Puede descargar una copia de sus datos y solicitar la eliminación de su cuenta en cualquier momento desde Mi cuenta (Tus datos); la eliminación se completa en un máximo de 30 días, conservando solo lo que la ley obliga a guardar (por ejemplo, las facturas selladas). Para ejercer sus derechos de acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento también puede enviar un correo a sergio@boty.agency. Responderemos en el plazo máximo de 30 días. Si considera que el tratamiento no se ajusta a la normativa, tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD) en www.aepd.es.
7. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas para proteger sus datos: transmisión cifrada mediante TLS, almacenamiento de contraseñas con hashing seguro (PBKDF2-SHA256), y sesiones gestionadas mediante cookies técnicas HTTP-only ("boty_access_token", de duración aproximada de 15 minutos, y "boty_rt", de renovación de sesión con duración de 7 días) para prevenir accesos no autorizados. Estas cookies se detallan en nuestra Política de Cookies.
8. Modificaciones
Nos reservamos el derecho a actualizar esta Política de Privacidad. Cualquier cambio material será comunicado a los usuarios registrados por correo electrónico con al menos 30 días de antelación a su entrada en vigor.