Política de privacidad del servicio
Versión 2026-11-12
Esta política explica cómo tratamos los datos de las personas que usan la aplicación de AuditFlow. Los datos personales que aparezcan dentro de los documentos que sube tu organización los tratamos por cuenta de ella, como encargado del tratamiento, según el punto 6 de las condiciones de la beta. La lista de espera tiene su propio aviso de privacidad.
Responsable
Guillermo Cantón, con los datos de identificación del aviso legal. Contacto para privacidad: privacidad@myauditflow.com. No hemos designado delegado de protección de datos porque, por nuestra actividad, no estamos obligados.
Qué datos tratamos y de dónde salen
- De tu cuenta: nombre, correo, organización, rol, idioma, y la versión y la fecha en que aceptaste las condiciones. Nos los das tú al darte de alta o, si te invita tu organización, tu correo y tu rol nos los da quien te invita.
- De acceso y seguridad: la contraseña, guardada solo como hash; el secreto del segundo factor, cifrado; los intentos de acceso fallidos y los bloqueos; y la dirección IP de cada petición, que usamos para limitar los intentos.
- De uso: las acciones administrativas que registra la aplicación (quién invitó, cambió un rol o borró algo), el estado y el historial de los hallazgos que asignas o decides, y cuántas preguntas haces al asistente de IA.
- Técnicos: registros de errores y rendimiento, sin el contenido de tus documentos y con los correos enmascarados.
- De facturación, solo si tu organización contrata un plan cuando termine la beta: los gestiona Stripe, y nosotros no vemos ni guardamos los datos de la tarjeta.
Los datos de tu cuenta son necesarios para prestarte el servicio: sin ellos no puedes usarlo.
Para qué y con qué base legal
- Prestarte el servicio y gestionar tu cuenta: la ejecución del contrato con tu organización (artículo 6.1.b del RGPD) y, si te invitó tu organización, nuestro interés legítimo y el suyo en que puedas usar la cuenta que te asigna (artículo 6.1.f).
- Proteger el servicio y tu cuenta (límites de intentos, bloqueos, registros técnicos y de acciones administrativas): nuestro interés legítimo en mantenerlo seguro y en poder saber qué ha pasado si algo falla (artículo 6.1.f).
- Enviarte los correos del servicio (invitaciones, restablecer la contraseña, análisis terminados, plazos y vencimientos): la ejecución del contrato. Los avisos de análisis los puede desactivar tu organización. No te enviamos publicidad.
- Facturar y cumplir obligaciones legales, cuando haya planes de pago: la obligación legal (artículo 6.1.c).
No usamos tus datos para publicidad, no los vendemos y no los usamos para entrenar modelos de IA. No tomamos sobre ti decisiones basadas únicamente en tratamiento automatizado que tengan efectos jurídicos o te afecten de forma similar: el análisis con IA es sobre los documentos, y sus resultados los revisa una persona.
Puedes oponerte a los tratamientos basados en interés legítimo escribiéndonos; los dejaremos de hacer salvo que haya motivos legítimos imperiosos, como la seguridad del servicio.
Cuánto tiempo
- Los datos de tu cuenta, mientras la cuenta exista. Si borras tu usuario o tu organización borra la cuenta, se eliminan al momento; las decisiones que tomaste sobre hallazgos se conservan como registro de la organización, pero con tu correo anonimizado.
- Los registros técnicos, como mucho 30 días.
- Las copias de seguridad de la base de datos y los ficheros borrados, 7 días más; después desaparecen también.
- Los datos de facturación, el tiempo que exija la ley fiscal y mercantil.
Quién más los trata
- Microsoft Ireland Operations Limited, como encargado del tratamiento: aloja la aplicación, la base de datos y los ficheros, ejecuta el modelo de IA (Azure OpenAI) y envía los correos, en centros de datos de la Unión Europea.
- Zoho, si escribes a nuestras direcciones de correo: el mensaje se guarda en su centro de datos de la UE.
- Stripe Payments Europe, Limited, solo si tu organización contrata un plan de pago.
No hacemos transferencias internacionales. Si alguno de estos proveedores tuviera que tratar datos fuera del Espacio Económico Europeo (por ejemplo, para soporte o seguridad), lo haría con las garantías del capítulo V del RGPD: una decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU., o las cláusulas contractuales tipo de la Comisión Europea.
Lo que guarda tu navegador
La aplicación solo guarda en tu navegador el token de tu sesión, imprescindible para que funcione. No usamos cookies, ni de analítica, ni de publicidad, ni de seguimiento.
Tus derechos
Puedes acceder a tus datos, rectificarlos, suprimirlos, oponerte o limitar su tratamiento, y pedir su portabilidad. Muchos los puedes ejercer desde la propia aplicación: la exportación de todos los datos y el borrado de la cuenta están en Ajustes → Privacidad. Para lo demás, escribe a privacidad@myauditflow.com; te responderemos en el plazo de un mes. Si crees que no hemos tratado bien tus datos, puedes reclamar ante la Agencia Española de Protección de Datos (www.aepd.es).
Cambios
Si cambiamos esta política te lo diremos antes de que el cambio se aplique, y la versión de arriba cambiará con ella.