Política de Privacidad

Esta política explica cómo XPLOSION AI, SL trata datos personales al prestar VibeTasking. Distinguimos los datos que tratamos como responsable para gestionar nuestra relación con usuarios y clientes del contenido que tratamos por cuenta del Cliente conforme al DPA de la sección 7 de los Términos.

1. Identidad y contacto

XPLOSION AI, SL, NIF B26864538, Calle Pobladores 6, Esc 4, Planta 2, Pta 4B, 41900 Camas, España.

Delegado de Protección de Datos: Eduardo del Palacio Lirola, [email protected].

2. Datos y funciones de las partes

Como responsable, tratamos datos de identificación y contacto profesional, cuentas, suscripción, facturación, comunicaciones de soporte y datos técnicos y de uso necesarios para gestionar la relación, proteger el Servicio y analizar su funcionamiento. Pueden incluir nombre, correo, teléfono, dirección IP, navegador, dispositivo y eventos de uso. No consideramos anónimos los datos técnicos por el mero hecho de no incluir un nombre.

Como encargado, tratamos por instrucciones del Cliente el contenido de tareas, archivos, comunicaciones, credenciales autorizadas, resultados, historiales y registros que contengan datos del encargo. Las personas y categorías concretas se identifican en la descripción del tratamiento correspondiente. Los datos de menores y demás datos regulados están sujetos a las condiciones de la sección 6 de los Términos; esta política no autoriza por sí sola su tratamiento.

El agente accede a archivos cargados y entornos y herramientas autorizados, dentro del encargo. Esta política no autoriza por sí sola acceso a dispositivos o servidores locales. La ejecución de una tarea no permite comunicar datos a nuevos destinatarios ajenos a las instrucciones autorizadas.

3. Finalidades

Los datos que tratamos como responsable se utilizan para gestionar cuentas, suscripciones, pagos y soporte; proteger la seguridad y prevenir abusos; cumplir obligaciones legales; analizar el funcionamiento del producto mediante datos técnicos y eventos de uso; y enviar comunicaciones del servicio. Las comunicaciones comerciales y los tratamientos sujetos a consentimiento se realizarán únicamente con la habilitación correspondiente.

El contenido del encargo se utiliza para ejecutar las tareas solicitadas y asegurar y mantener ese servicio por cuenta del Cliente. No lo reutilizamos para publicidad ni para comercializar perfiles. Para mejorar el Servicio para todos los clientes podemos obtener del uso de la plataforma información anónima y agregada que no identifica al Cliente ni a ninguna persona y no reproduce su contenido, conforme a la sección 7.4 de los Términos. En el plan Enterprise, un propietario puede excluir su entorno de trabajo. Los registros que contengan contenido del encargo mantienen esas limitaciones.

No entrenamiento. No utilizamos Tu Contenido ni los datos tratados por tu cuenta, incluidos los obtenidos de las APIs de Google Workspace, para entrenar, reentrenar o ajustar modelos de inteligencia artificial propios o de terceros. Exigimos compromisos compatibles a los subencargados.

4. Bases jurídicas

Para datos tratados como responsable, aplicamos la ejecución del contrato cuando el interesado sea parte y el tratamiento sea necesario; nuestras obligaciones legales para facturación y otros deberes aplicables; y el interés legítimo, previa ponderación, para gestionar contactos profesionales, atender usuarios de entidades clientes, seguridad, prevención de abusos y análisis del funcionamiento cuando proceda. Solicitamos consentimiento cuando sea exigible, por ejemplo para tecnologías de seguimiento no necesarias o comunicaciones que lo requieran; puede retirarse sin afectar a la licitud del tratamiento anterior.

El Cliente determina la base jurídica del contenido que tratamos por su cuenta. El DPA documenta nuestras instrucciones y obligaciones como encargado; la relación comercial con VibeTasking no constituye una base jurídica general para tratar datos de terceros ni sustituye las condiciones especiales aplicables a ciertos datos.

Preferencias de medición

La analítica básica del producto con PostHog está activada por defecto y puedes desactivarla desde Preferencias de privacidad en el pie de la web o Perfil → Privacidad en la app. La medición básica no usa identificadores persistentes de analítica. Se miden los clics sin capturar su texto y no se graban sesiones. Si activas Recordar visitas, PostHog utiliza cookies y almacenamiento del navegador para relacionar visitas y mantener la sesión al recargar. Puedes retirar esta elección en los mismos controles; entonces se eliminan los identificadores de analítica guardados. En la app, los identificadores de cuenta permiten asociar los eventos del producto a tu cuenta. Estos datos no son anónimos. Se respetan las exclusiones de analítica ya guardadas.

La medición publicitaria de Google es una elección independiente. En el Espacio Económico Europeo, el Reino Unido y Suiza, las etiquetas de Google se cargan con el consentimiento denegado por defecto y pueden enviar señales limitadas sin cookies. Allí, las cookies publicitarias y el envío de conversiones vinculadas a identificadores requieren la elección publicitaria. Fuera de esas regiones, la medición publicitaria y Recordar visitas están activadas por defecto y puedes desactivarlas en cualquier momento desde Preferencias de privacidad. La región se determina con el país asociado a tu dirección IP, que no conservamos para este fin. La personalización de anuncios permanece desactivada. Rechazar la medición de Google no desactiva la analítica básica. La app no muestra un aviso de consentimiento ni añade pasos al registro.

Las preferencias, incluida la configuración por defecto fuera de esas regiones, se guardan hasta 180 días en una cookie propia compartida entre la web y la app. Con permiso publicitario, la atribución de campañas puede conservarse hasta 90 días. Sin ese permiso, las etiquetas de campaña de la navegación actual pueden acompañar al registro sin conservar un identificador de clic de Google. Los registros de alta, autenticación, facturación y tareas no dependen de las preferencias de analítica. Los registros de conversiones del servidor se conservan hasta 90 días y los envíos a Google comprueban el permiso publicitario. Los identificadores mínimos de hitos evitan contar dos veces una adquisición.

5. Destinatarios y transferencias internacionales

Utilizamos proveedores de infraestructura, ejecución, modelos de IA, canales, integraciones y otras funciones necesarias para el Servicio. El registro de proveedores identifica sus entidades, funciones, ubicaciones y garantías comunicadas. Su papel depende del tratamiento concreto: un proveedor de facturación puede intervenir en nuestra gestión como responsable, mientras que quien trata contenido del encargo por nuestra cuenta es subencargado. La autorización general, avisos y obligaciones del DPA se aplican a estos últimos.

Las aplicaciones que el Cliente contrata y autoriza operar se rigen por su relación con sus proveedores. Los intermediarios contratados por VibeTasking que traten datos por nuestra cuenta siguen sujetos al régimen de subencargados. La conexión de una herramienta no elimina nuestras obligaciones.

El alojamiento de infraestructura en Europa no implica que todas las funciones se procesen exclusivamente allí. Las ubicaciones dependen del proveedor y servicio. Para transferencias sujetas al capítulo V RGPD estableceremos el mecanismo válido aplicable, como una decisión de adecuación o cláusulas contractuales tipo, con las evaluaciones y medidas complementarias necesarias. El Marco de Privacidad de Datos UE-EE. UU. solo será aplicable cuando cubra al destinatario y tratamiento concretos. Puedes solicitar información y copia de las garantías en nuestro contacto de privacidad. No efectuaremos una transferencia sin garantías válidas.

6. Conservación

Los datos de cuentas, contactos y soporte se conservarán mientras sean necesarios para la relación y la finalidad correspondiente. Los datos sujetos a obligaciones legales o necesarios para atender responsabilidades se conservarán durante los plazos aplicables, con acceso restringido y sin reutilizarlos para fines incompatibles. La necesidad de conservar registros técnicos se evaluará según su finalidad de seguridad o funcionamiento. Los registros de inicio de sesión se conservan doce meses y los de facturación seis años.

Los datos tratados por encargo se devolverán o suprimirán conforme al DPA y las instrucciones del Cliente. Mientras el entorno de trabajo existe, sus registros de actividad se conservan doce meses, o el plazo de entre seis y treinta y seis meses que fije un propietario en el plan Enterprise, conforme a la sección 7.7 de los Términos. Al terminar el Servicio para un entorno de trabajo, este queda archivado treinta días para su exportación o restauración y después se suprime de los sistemas activos, y de las copias de seguridad en un máximo de noventa días desde la terminación o la instrucción anterior que determine la supresión, sin perjuicio de plazos legales más breves. Las copias pendientes de rotación quedan aisladas del uso ordinario. Tras la supresión no se conservan para reactivación. Solo se exceptúa la conservación concreta legalmente exigida en los términos del DPA.

7. Derechos

Puedes solicitar acceso, rectificación, supresión, limitación, portabilidad u oposición cuando procedan, y retirar consentimientos, escribiendo al Delegado de Protección de Datos en [email protected]. Puedes reclamar ante la Agencia Española de Protección de Datos.

Si la petición afecta a datos tratados por cuenta de un Cliente, la trasladaremos al responsable y le asistiremos conforme al DPA. No resolveremos por su cuenta salvo instrucción u obligación legal.

8. IA y decisiones automatizadas

El Servicio genera resultados y ejecuta acciones mediante IA siguiendo instrucciones y permisos del Cliente. La selección automática de herramientas para una tarea no equivale por sí sola a elaborar perfiles de personas. Si el Cliente utiliza un sistema para evaluar personas o adoptar decisiones que les afecten, debe identificar y cumplir las obligaciones aplicables, incluidas las del artículo 22 RGPD cuando corresponda. La aceptación de los Términos no constituye consentimiento de las personas afectadas. VibeTasking conserva sus propias obligaciones de transparencia y cumplimiento.

9. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo, incluidos cifrado en tránsito y reposo, controles de acceso y segregación de entornos. La descripción de las medidas aplicables al encargo se facilita conforme al DPA. Puedes comunicarnos incidentes de seguridad y vulnerabilidades en [email protected]. La seguridad exige medidas y revisión continuas y no constituye una garantía de ausencia absoluta de incidentes.

10. Cambios

Mantendremos esta política actualizada e informaremos de cambios relevantes por los canales adecuados, incluido correo cuando corresponda. Un cambio en esta política no modifica el DPA ni autoriza nuevas finalidades incompatibles; se obtendrá consentimiento cuando sea necesario.