Política de privacidad

1. Dos roles

Respecto de los datos sobre ti y tu equipo — nombre, correo, rol, datos de facturación, cómo usas el producto — nosotros decidimos por qué y cómo se tratan. Bajo normas como el RGPD somos el responsable del tratamiento.

Respecto de los datos sobre tus clientes — las personas a quienes cotizas — tú decides por qué y cómo se tratan. Nosotros solo actuamos según tus instrucciones, que das al usar el producto. Ahí somos el encargado del tratamiento y tú el responsable.

En la práctica, las solicitudes de tus clientes sobre sus datos deben llegarte a ti, no a nosotros. Si alguna nos llega directamente, la derivaremos a ti en lugar de actuar por cuenta propia.

2. Qué recopilamos

Directamente de ti al registrarte y usar el servicio:

• Datos de cuenta: nombre, correo electrónico, contraseña (almacenada solo como hash), nombre de la organización, subdominio, rol.
• Datos de facturación: plan, estado de la suscripción, historial. Los datos de tarjeta los maneja Stripe y nunca llegan a nuestros sistemas.
• Contenido que creas: proyectos, propiedades, planos, cotizaciones, planes de pago, documentos e imágenes.
• Registros de clientes que ingresas: nombres, datos de contacto, números de identificación y todo lo demás que decidas guardar sobre las personas a quienes cotizas.
• Datos técnicos: dirección IP, información de navegador y dispositivo, páginas visitadas, marcas de tiempo y diagnósticos de error.
• Comunicaciones: los mensajes que nos envías para soporte.

3. Para qué los usamos

Usamos datos personales para:

• prestar el servicio, incluidas la autenticación, la separación entre organizaciones y las funciones de tu plan;
• procesar suscripciones y pagos, y enviar avisos de facturación;
• enviar correo transaccional: confirmaciones, invitaciones, restablecimiento de contraseña, notificaciones de cotizaciones;
• mantener el servicio seguro: límites de tasa, prevención de abuso, registros de auditoría y diagnóstico de errores;
• atenderte cuando pides ayuda;
• cumplir obligaciones legales y contables.

4. Qué no hacemos

No vendemos datos personales, ni los compartimos con terceros para su propio marketing.

No usamos tu contenido ni los datos de tus clientes para entrenar modelos de aprendizaje automático.

No corremos publicidad ni rastreadores de analítica de terceros en la aplicación.

5. Bases legales

Cuando aplica el RGPD o norma similar, nos apoyamos en: la ejecución de un contrato, para prestar el servicio que contrataste; el interés legítimo, para seguridad, diagnóstico de errores y mejora del producto; la obligación legal, para registros fiscales y contables; y el consentimiento, cuando lo pedimos expresamente.

Cuando actuamos como encargados respecto de los datos de tus clientes, la base legal de ese tratamiento te corresponde establecerla a ti, no a nosotros.

6. Proveedores

Usamos un número acotado de proveedores para operar el servicio. Cada uno trata datos solo para cumplir su función con nosotros:

• Vercel — alojamiento de la aplicación y entrega de contenido (Estados Unidos).
• Supabase — base de datos, autenticación y almacenamiento de archivos (Estados Unidos).
• Stripe — facturación de suscripciones y procesamiento de pagos. Los datos de tarjeta van directo a Stripe; nosotros nunca los recibimos ni los almacenamos.
• Resend — correo transaccional: confirmaciones, invitaciones y restablecimiento de contraseña.
• Upstash — límites de tasa. Guarda contadores de solicitudes por dirección IP o cuenta, no contenido.
• Sentry — reporte de errores, para diagnosticar fallos. Configurado para registrar contexto técnico, no el contenido de tus registros.

7. Transferencias internacionales

Estamos en Estados Unidos y nuestros proveedores están principalmente en Estados Unidos. Si te encuentras en el Espacio Económico Europeo, el Reino Unido u otra región con restricciones de transferencia, usar el servicio implica transferir tus datos a Estados Unidos.

Cuando corresponde, esas transferencias se amparan en las Cláusulas Contractuales Tipo de la Comisión Europea u otro mecanismo aprobado.

8. Cookies

Usamos dos tipos de cookie, ambas propias y ninguna de rastreo:

• Cookies de sesión que te mantienen con sesión iniciada. Sin ellas la autenticación no puede funcionar.
• Una cookie de preferencia de idioma que recuerda si elegiste español o inglés.

9. Cuánto tiempo conservamos los datos

Conservamos tu cuenta y tu contenido mientras exista tu organización, incluso en estado de solo lectura, para que nada se pierda si una suscripción decae y luego se reanuda.

Tras cerrar una cuenta conservamos los datos por un plazo limitado para permitir su recuperación o exportación, y luego los eliminamos. Los registros de facturación se conservan más tiempo cuando la normativa fiscal y contable lo exige.

Los registros de seguridad y auditoría se conservan por un plazo limitado acorde a su finalidad.

10. Seguridad

Los datos viajan cifrados. El acceso entre organizaciones está separado a nivel de base de datos, de modo que una organización no puede leer los registros de otra. Las contraseñas se guardan como hash. El acceso administrativo a sistemas de producción está restringido.

Ningún sistema es invulnerable. Si una brecha afecta tus datos personales y la ley exige notificación, te avisaremos a ti y a la autoridad correspondiente dentro del plazo requerido.

11. Tus derechos

Según dónde residas, puedes tener derecho a acceder, rectificar, eliminar, limitar u oponerte al tratamiento de tus datos personales, y a recibirlos en formato portátil.

Buena parte lo puedes hacer tú mismo dentro de la aplicación. Para lo demás, escribe a legal@cotiza.io y responderemos dentro del plazo que fije la ley aplicable.

También puedes reclamar ante tu autoridad local de protección de datos.

12. Menores de edad

El servicio es para uso profesional y no está dirigido a menores. No recopilamos conscientemente datos personales de personas menores de 16 años. Si crees que lo hicimos, contáctanos y los eliminaremos.

13. Cambios

Podemos actualizar esta política. Si un cambio es relevante te avisaremos al correo registrado en tu cuenta, o dentro de la aplicación, antes de que entre en vigor. La fecha de vigencia de arriba siempre refleja la versión actual.

14. Contacto

MAVILA Ventures LLC, Delaware, United States.

Consultas de privacidad y ejercicio de derechos: legal@cotiza.io.