Política de Privacidad

1. Tres funciones: léase esto primero

• Datos de la plataforma (somos el responsable del tratamiento): los datos de cuenta y de facturación de los inquilinos y de los miembros de su equipo, los registros del operador, las conversaciones de soporte y la analítica de la plataforma.
• Datos del sitio del inquilino (somos el encargado del tratamiento): los datos personales que los visitantes y clientes facilitan al sitio de un inquilino (pedidos, envíos de formularios, cuentas de la tienda). El inquilino es el responsable del tratamiento; nosotros tratamos los datos por cuenta del inquilino conforme a los Términos y a un anexo de encargo del tratamiento (DPA) independiente, disponible a petición en info@olmira.app. Las solicitudes relativas a la tienda de un inquilino deben dirigirse a ese inquilino; reenviamos las solicitudes mal dirigidas cuando nos es posible.
• Datos de la compra (nuestro comerciante registrado es responsable independiente del tratamiento): los datos personales que Dodo Payments recaba para venderle una suscripción de Olmira, es decir, la identidad de facturación que usted le facilita, su método de pago, su factura y los datos fiscales que la sustentan. Dodo Payments decide por sí mismo por qué y cómo trata esos datos, conforme a su propio aviso de privacidad; no los trata siguiendo instrucciones de Olmira. La sección 5 explica lo que eso significa para usted.

2. Quién es el responsable

Respecto de los datos de la plataforma, el responsable del tratamiento es Olmira, el operador identificado íntegramente al final de esta política: Individual Entrepreneur Mario Atienza Sanchez, registrado en Georgia con número de registro y de contribuyente 305768354, con domicilio en Ateni str. N6-8, Space N4b, Vake district, Tbilisi, Georgia.

Tratamos los datos de la plataforma conforme a la legislación de protección de datos de la jurisdicción del operador (Georgia) y, respecto de las personas situadas en la UE/EEE, conforme al RGPD cuando resulte aplicable.

3. Datos que recogemos (como responsable)

• Cuenta: nombre, correo electrónico, hash de la contraseña, teléfono opcional, alta en el doble factor, idioma.
• Facturación: su plan, sus facturas y los metadatos de pago que nuestro comerciante registrado nos comunica, esto es, el estado de un cargo, la marca y los últimos dígitos del método de pago utilizado y el país empleado para determinar el impuesto. Nunca recibimos ni almacenamos números de tarjeta completos.
• Uso y seguridad: direcciones IP, metadatos de dispositivo y navegador, eventos de inicio de sesión y de auditoría, huellas de dispositivo empleadas para la prevención del abuso, y telemetría de errores y rendimiento.
• Medición del uso de IA: recuento de los tokens de IA y de las generaciones de IA consumidos con su plan, registrados por cuenta.
• El contenido que usted almacena en su espacio de trabajo, tratado para alojarlo y representarlo.
• Comunicaciones: tickets de soporte, correos electrónicos y mensajes dentro de la aplicación.

4. Finalidades y bases jurídicas

• Prestación del servicio y alojamiento de sus sitios: contrato.
• Facturación y registros fiscales: obligación legal / contrato.
• Medición del uso de IA para aplicar los límites del plan: contrato.
• Seguridad y prevención del fraude y del abuso (incluido el filtrado conforme a la política de nombres): interés legítimo.
• Correos de servicio (verificación, seguridad, cambios): contrato.
• Analítica y mejora del producto: interés legítimo.
• Correos comerciales: consentimiento (previa aceptación, revocable).

5. Comunicación de datos y subencargados

No vendemos datos personales. Solo los comunicamos a los proveedores de servicios de los que dependemos para operar la plataforma, a nuestro comerciante registrado de las compras de suscripción, a los proveedores de modelos de IA cuando usted invoca funciones de IA (únicamente el texto de entrada, sin reventa) y, cuando la ley lo exige, a las autoridades. Nuestros proveedores de servicios son encargados del tratamiento vinculados por contratos de encargo; nuestro comerciante registrado no es uno de ellos, y el párrafo siguiente expone lo que es en su lugar. Nuestros subencargados y proveedores de servicios actuales son:

• DigitalOcean: alojamiento en la nube, infraestructura de cómputo y almacenamiento.
• Cloudflare: DNS, CDN, TLS y seguridad en el borde.
• Dodo Payments: comerciante registrado (merchant of record) de las compras de suscripción de Olmira y responsable independiente del tratamiento de los datos personales de esas compras.
• Anthropic: proveedor de modelos de IA para las funciones de IA que usted invoca.
• OpenAI: proveedor de modelos de IA para las funciones de IA que usted invoca.
• Proton: envío de correo transaccional y de cuenta.

Dodo Payments no es nuestro encargado del tratamiento. Como comerciante registrado, vende la suscripción en su propio nombre, por lo que determina por sí mismo los fines y los medios del tratamiento que esa venta exige: identificarle como su comprador, cobrar y asegurar el pago, prevenir el fraude, emitir su factura y cumplir sus propias obligaciones fiscales, contables y de prevención del blanqueo de capitales. Respecto de ese tratamiento es responsable independiente, y no un encargado que actúe siguiendo nuestras instrucciones, y lo rige su propio aviso de privacidad: https://dodopayments.com/privacy-policy. Las solicitudes de los interesados a Dodo Payments se tramitan por los canales de soporte que Dodo Payments publica: su página de contacto en https://dodopayments.com/contact y, para la supresión de sus datos, support@dodopayments.com conforme a su política de supresión de datos (https://dodopayments.com/legal/data-deletion). Cuando Dodo Payments y nosotros intercambiamos datos —el pedido que le trasladamos, los metadatos de pago e impuestos que nos comunica—, cada uno es responsable de lo que obra en su poder y ninguno actúa siguiendo instrucciones del otro. Nunca recibimos los datos completos de su tarjeta. Nada de esto afecta a la cuenta de Stripe o de PayPal que un inquilino conecte a su propio sitio para cobrar a sus propios clientes: esa cuenta pertenece al inquilino y se rige por el acuerdo que él mismo tenga con ese proveedor.

6. Autoridades policiales y prevención del fraude

Comunicamos datos de cuenta, registros y contenido a las fuerzas y cuerpos de seguridad, juzgados, organismos reguladores, entidades financieras y proveedores de pago cuando la comunicación es exigida por la ley o se solicita mediante un procedimiento legal, pruebas claras o una sospecha razonada de fraude, suplantación u otro delito (base jurídica: obligación legal o interés legítimo). El fraude que detectamos nosotros mismos se trata mediante medidas de aplicación de la plataforma, conservando las pruebas a disposición de las autoridades competentes cuando lo requieran lícitamente. Podemos conservar más allá de los plazos habituales los datos sujetos a una investigación, incluidos los identificadores bloqueados (direcciones IP, huellas de dispositivo) necesarios para hacer efectivos los vetos.

7. Transferencias internacionales

La infraestructura puede estar situada en la UE/EEE, en EE. UU. o en la jurisdicción de origen del operador (Georgia). Cuando se transfieren datos personales de residentes del EEE fuera de la UE/EEE a un país sin decisión de adecuación de la UE, nos amparamos en cláusulas contractuales tipo (CCT) u otro mecanismo de transferencia válido con el proveedor correspondiente, y cumplimos las normas sobre transferencias transfronterizas de la jurisdicción del operador. Nuestro comerciante registrado transfiere los datos de la compra que controla conforme a su propio aviso de privacidad y a sus propios mecanismos de transferencia.

8. Conservación

Los datos de cuenta se conservan durante la vida de la cuenta y hasta 90 días después de su eliminación (ciclos de copia de seguridad), salvo que la normativa fiscal o contable exija un plazo mayor (facturas). Los registros de seguridad se conservan alrededor de 12 meses. Las pruebas de una investigación de abuso se conservan mientras dure la investigación y los procedimientos que se deriven. Los datos del sitio del inquilino se conservan siguiendo sus instrucciones mientras el contrato esté vigente; cuando un espacio de trabajo queda suspendido —tras hacerse efectiva una cancelación, al convertirse una pausa en cancelación o al expirar una prueba gratuita— los datos del espacio de trabajo y del sitio se conservan 90 días y después se eliminan de forma permanente, previo aviso, salvo que los deberes legales de conservación o la preservación de pruebas exijan un plazo mayor.

9. Sus derechos

Según su jurisdicción, conforme a la legislación de protección de datos de la jurisdicción del operador (Georgia) y (cuando resulte aplicable) al RGPD: acceso, rectificación, supresión, limitación, portabilidad, oposición y retirada del consentimiento.

Puede presentar una reclamación ante la autoridad de control en materia de protección de datos de la jurisdicción del operador (Georgia) o, si reside en la UE/EEE, ante su autoridad de control local.

Los derechos sobre los datos de la compra que obran en poder de nuestro comerciante registrado se ejercen ante él, porque es el responsable de esos datos y no nuestro encargado del tratamiento: escríbanos y le indicaremos el contacto correcto. Los derechos sobre su cuenta de Olmira, sus sitios y su contenido se ejercen ante nosotros.

• Ejerza sus derechos en:info@olmira.app

Verificamos su identidad antes de actuar y respondemos en el plazo de un mes.

10. Seguridad

TLS en todo momento (HSTS en olmira.app), hash de contraseñas, doble factor de autenticación opcional y —para los roles privilegiados— obligatorio, aislamiento de la base de datos por inquilino, secretos cifrados mediante sobre criptográfico y acceso del operador sujeto a auditoría. Ningún método es seguro al 100 %; notificamos a los usuarios afectados y a la autoridad de control competente las violaciones de datos personales que lo requieran sin dilación indebida —cuando resulte aplicable un plazo, dentro de las 72 horas siguientes a tener conocimiento de ellas— según exija la legislación aplicable.

11. Cookies

Consulte nuestra Política de Cookies para conocer las cookies que instalan las superficies de la plataforma. Los sitios de los inquilinos instalan sus propias cookies bajo la responsabilidad del inquilino.

12. Cambios

Los cambios sustanciales se anuncian por correo electrónico o dentro de la aplicación con al menos 30 días de antelación cuando resulta viable. La fecha de «última actualización» que figura arriba refleja siempre la versión vigente.