Política de privacidad

Responsable:

Zakomo FZCO
IFZA, Dubai Silicon Oasis
Dubái, Emiratos Árabes Unidos

Representada por: Jörg Müller
Correo electrónico: [email protected]

No se ha nombrado un delegado de protección de datos.

1. Derecho aplicable y lugar del tratamiento

Growmindr es operada por una sociedad con domicilio en los Emiratos Árabes Unidos, pero se dirige expresamente también a clientes del Espacio Económico Europeo. Por ello tratamos los datos personales conforme al Reglamento General de Protección de Datos (RGPD), cuyo ámbito de aplicación territorial se deriva en esa medida del art. 3, apartado 2, del RGPD, así como conforme a la Ley Federal n.º 45 de 2021 de los Emiratos Árabes Unidos sobre la protección de datos personales (PDPL).

Todos los tratamientos se realizan en servidores en Dubái, Emiratos Árabes Unidos. Para los Emiratos Árabes Unidos no existe una decisión de adecuación de la Comisión Europea conforme al art. 45 del RGPD. Por ello, basamos las transferencias desde el EEE en las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914) conforme al art. 46, apartado 2, letra c, del RGPD; para los datos que los clientes aportan a la Plataforma, estas cláusulas forman parte del contrato de encargo del tratamiento. De forma complementaria, adoptamos las medidas técnicas y organizativas descritas en el Anexo 1 de dicho contrato.

En todos los asuntos relativos a la protección de datos puede contactarnos directamente en [email protected].

2. Dos roles

• Para el sitio web y su cuenta de cliente somos responsables.
• Para los contenidos que los clientes aportan a la Plataforma —en

particular, los datos de contacto de los destinatarios de outreach— el responsable es el respectivo cliente; nosotros tratamos estos datos exclusivamente como encargados del tratamiento (apartado 7).

3. Visita del sitio web

Al acceder a growmindr.com, nuestro servidor trata los datos de conexión técnicamente necesarios: dirección solicitada, momento, cantidad de datos transmitida, código de estado, referente, identificador del navegador y dirección IP. La base jurídica es el art. 6, apartado 1, letra f, del RGPD; nuestro interés legítimo reside en un funcionamiento seguro y sin incidencias. Los registros del servidor se eliminan a más tardar a los 14 días.

El sitio web se entrega a través de un túnel de Cloudflare. En este proceso, Cloudflare trata, como encargado del tratamiento, datos de conexión incluida la dirección IP, a fin de garantizar la entrega, el cifrado TLS y la protección frente a ataques.

En el sitio web no se colocan cookies, y no se utilizan ni localStorage ni sessionStorage ni técnicas comparables para almacenar o leer información en su dispositivo. Por ello no se requiere un consentimiento para el acceso a equipos terminales —en Alemania, el § 25, apartado 1, del TDDDG—; se renuncia conscientemente a un banner de consentimiento.

Las fuentes tipográficas integradas se cargan desde Google Fonts. En este proceso, su dirección IP se transmite a Google Ireland Limited. La base jurídica es el art. 6, apartado 1, letra f, del RGPD (presentación uniforme del sitio web).

4. Medición de audiencia

Para la medición de audiencia operamos una instancia autoalojada del software de código abierto Umami en nuestro propio servidor. No se produce ninguna transmisión a un proveedor de servicios de análisis.

Umami funciona sin cookies. A partir de la dirección IP, el identificador del navegador y un valor aleatorio que cambia periódicamente se forma un identificador que resume una visita; la dirección IP en sí no se almacena. Se almacenan exclusivamente: la página consultada, la página de referencia, el momento, el país y la región derivados de la dirección IP, el navegador, el sistema operativo, el tipo de dispositivo, la resolución de pantalla y la configuración de idioma. Con ello no nos es posible inferir una persona determinada.

Adicionalmente, registramos eventos anónimos sobre el recorrido de uso (por ejemplo, el clic en un botón de registro) para reconocer en qué punto los interesados abandonan.

La base jurídica es el art. 6, apartado 1, letra f, del RGPD. Los datos se eliminan a los 24 meses.

5. Registro y uso de la cuenta

Para una cuenta tratamos el nombre, la dirección de correo electrónico, una contraseña con hash, el rol elegido en el equipo, así como los momentos de inicio de sesión y de la última actividad. La base jurídica es el art. 6, apartado 1, letra b, del RGPD (ejecución del contrato).

Para la confirmación de la dirección de correo electrónico y para las invitaciones al equipo enviamos correos electrónicos a través de nuestro propio servidor de correo. Las sesiones se representan mediante una cookie técnicamente necesaria que se coloca exclusivamente tras el inicio de sesión (httpOnly, SameSite=Strict, solo a través de HTTPS) y que expira tras 15 minutos de inactividad. Es imprescindible para el servicio expresamente deseado por usted y, por tanto, no requiere consentimiento.

Por motivos de seguridad y para evitar abusos, llevamos un registro de actividad sobre los procesos relevantes para la seguridad en la cuenta (art. 6, apartado 1, letra f, del RGPD).

6. Facturación

Los planes de pago se facturan a través de Paddle. Paddle actúa en ese proceso como Merchant of Record y, por tanto, como responsable propio: su parte contratante para la tramitación de los pagos es Paddle, no nosotros. Los datos de pago se recaban directamente en Paddle; nosotros no recibimos ni números de tarjeta ni datos bancarios, sino únicamente el plan, el estado y la duración de la suscripción. Se aplican de forma complementaria las indicaciones de protección de datos de Paddle en https://www.paddle.com/legal/privacy.

7. Datos que aportan los clientes

Si un cliente aporta datos personales a la Plataforma —en particular, datos de contacto de destinatarios de outreach, contenidos de mensajes, así como eventos de apertura, clic y baja—, el responsable de ello es el cliente. Nosotros tratamos estos datos exclusivamente siguiendo instrucciones, sobre la base del contrato de encargo del tratamiento, que forma parte del contrato e incluye las cláusulas contractuales tipo para la transferencia a los Emiratos Árabes Unidos.

Como destinatario de un correo electrónico enviado a través de Growmindr, dirija sus solicitudes de acceso, rectificación y supresión al remitente, es decir, al cliente que le ha escrito. Además, puede darse de baja mediante el enlace de baja de cada correo electrónico; la dirección quedará entonces bloqueada de forma permanente para otras campañas de ese cliente. Si una solicitud nos llega directamente, la remitimos sin demora al cliente responsable y le apoyamos en su respuesta.

8. Destinatarios y encargados del tratamiento

• Cloudflare — entrega del sitio web, protección frente a ataques.
• Paddle — tramitación de los pagos, allí como responsable propio.

No se utilizan servicios externos de análisis, publicidad o rastreo. La base de datos, el almacenamiento de objetos, la medición de audiencia y las funciones de IA se ejecutan en nuestra propia infraestructura en Dubái.

Servicios opcionales que solo se conectan por indicación expresa del cliente y para los que el cliente deposita una clave de acceso propia: Hunter.io y Apollo.io para el enriquecimiento de contactos, así como el servidor de correo configurado por el cliente para el envío. Sin una clave depositada no se produce ninguna transmisión.

9. Inteligencia artificial

Las funciones de creación de textos asistidas por IA utilizan un modelo de lenguaje operado en nuestro propio servidor. Las entradas no abandonan nuestra infraestructura y no se utilizan para el entrenamiento de modelos de terceros. Si en el futuro se conectara un proveedor externo, informaremos de ello previamente en este lugar.

10. Plazo de conservación

• Registros del servidor: 14 días.
• Medición de audiencia: 24 meses.
• Datos de cuenta y de contrato: durante la duración del contrato; después, hasta

el vencimiento de los plazos legales de conservación, con un tratamiento restringido a esos fines.

• Contenidos aportados por el cliente: hasta 30 días después de la finalización

del contrato, después se eliminan.

• Copias de seguridad: rotatorias, sobrescritas a más tardar a los 14 días. Una

supresión repercute en las copias de seguridad solo con el vencimiento de estas.

11. Sus derechos

Usted tiene derecho de acceso (art. 15), rectificación (art. 16), supresión (art. 17), limitación del tratamiento (art. 18), portabilidad de los datos (art. 20) y oposición (art. 21 del RGPD). Un consentimiento otorgado puede revocarlo en cualquier momento con efecto para el futuro. Le asisten derechos equivalentes conforme al PDPL.

Derecho de oposición: en la medida en que tratemos datos sobre la base de intereses legítimos, puede oponerse a ese tratamiento en cualquier momento por motivos derivados de su situación particular.

Para ello, diríjase a [email protected]. A petición, le facilitamos una copia de las cláusulas contractuales tipo.

Con independencia de ello, le asiste un derecho de reclamación ante una autoridad de control. Dentro del EEE es la autoridad de control de su residencia habitual, de su lugar de trabajo o del lugar de la presunta infracción; en los Emiratos Árabes Unidos, la UAE Data Office.

12. Carácter necesario de la facilitación

La indicación del nombre y de la dirección de correo electrónico es necesaria para la creación de una cuenta. Sin estos datos no podemos cumplir el contrato. No se produce ninguna decisión automatizada, incluida la elaboración de perfiles en el sentido del art. 22 del RGPD.

13. Modificaciones

Adaptamos esta Política cuando cambia el tratamiento. Es determinante la versión publicada en cada momento en esta página.