Política de privacidad

Aquí explicamos qué datos personales trata Acota, para qué, con quién se comparten y qué derechos tienes, conforme al Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

1. Responsable

Creanova Design, S.L., NIF B75622134, Avenida del Valle 22, 28939 Batres (Madrid). Correo para todo lo relacionado con tus datos: info@acota.app.

2. Qué datos tratamos

• De tu cuenta: nombre, correo, teléfono, contraseña (cifrada), rol en la empresa, y los datos de la empresa (nombre, razón social, NIF, dirección, logo).
• De los operarios: nombre y teléfono que indica la empresa, y el identificador de usuario de Telegram con el que se vinculan a la Mini App.
• De uso del servicio: mediciones, clientes, obras y direcciones, fotos, documentos, visitas, mensajes entre oficina y operarios, catálogo y ajustes.
• De soporte: las preguntas que haces al asistente de ayuda, sus respuestas y las incidencias que abres.
• De facturación: datos fiscales e historial de pedidos y facturas. Los datos del método de pago los trata el proveedor de pagos; Acota no guarda el número completo de la tarjeta.
• Técnicos: dirección IP, navegador, fecha y hora de los accesos y registros necesarios para la seguridad y el funcionamiento del servicio.

3. Para qué y con qué base legal

• Prestar el servicio contratado (crear y gestionar la cuenta, recibir y calcular mediciones, avisos a los operarios por Telegram, mensajes, agenda, exportaciones): ejecución del contrato.
• Facturar y cumplir obligaciones fiscales y contables: obligación legal.
• Atender el soporte, incluido el asistente de ayuda: ejecución del contrato. Las preguntas al asistente se envían, junto con el contexto necesario de tu empresa (plan, rol, estado de configuración), a nuestro proveedor de inteligencia artificial para generar la respuesta; no se usan para entrenar modelos.
• Seguridad, prevención de abusos y mejora del servicio a partir de datos de uso agregados: interés legítimo en proteger y mejorar Acota.
• Comunicaciones sobre el servicio (avisos, cambios, cobros): ejecución del contrato. Comunicaciones sobre novedades de Acota a clientes: interés legítimo (art. 21.2 LSSI); puedes oponerte en cualquier momento desde el propio correo o escribiéndonos.

4. Encargo del tratamiento: los datos de tus clientes

Los datos personales de los clientes de tu empresa (nombre, teléfono, dirección de la obra, fotos en las que puedan aparecer, etc.) los introduces tú. Tu empresa es la responsable de ese tratamiento y Acota actúa como encargada (art. 28 RGPD). Al aceptar las Condiciones de uso, ambas partes acuerdan lo siguiente:

• Objeto y duración: alojar y procesar esos datos para prestarte el servicio, mientras tu cuenta esté activa y durante los 30 días posteriores a la baja.
• Instrucciones: Acota trata los datos solo según tus instrucciones (las que das al usar la aplicación) y nunca para fines propios.
• Confidencialidad: las personas que acceden a los datos en Acota están sujetas a deber de secreto.
• Seguridad: cifrado en tránsito, aislamiento por empresa en la base de datos, control de acceso por roles, copias de seguridad diarias y registro de accesos.
• Subencargados: autorizas a los proveedores del apartado 5. Te avisaremos con 30 días de antelación si cambiamos alguno y podrás oponerte cancelando el servicio.
• Asistencia: te ayudaremos a atender los derechos de tus clientes y las obligaciones de seguridad y notificación de brechas; te comunicaremos cualquier brecha que afecte a tus datos sin dilación indebida.
• Fin del encargo: al terminar, puedes exportar los datos; después los eliminamos, salvo lo que debamos conservar por ley.
• Verificación: a petición razonable, te facilitaremos la información necesaria para demostrar el cumplimiento de estas obligaciones.

Tu empresa garantiza que tiene base legal para introducir esos datos en Acota e informar a sus clientes conforme al RGPD.

5. Con quién se comparten

No vendemos ni cedemos datos a terceros. Solo acceden a ellos, como encargados nuestros, los proveedores imprescindibles para el servicio:

• Supabase, Inc.: base de datos, autenticación y almacenamiento de archivos. Servidores en la Unión Europea (París).
• Vercel, Inc.: alojamiento y ejecución de la aplicación, con ejecución en la Unión Europea (París) y red de entrega de contenidos global.
• Resend, Inc.: envío de correos del servicio (confirmaciones, contraseñas, avisos). Servidores en la Unión Europea (Irlanda).
• Telegram (Telegram FZ-LLC / Telegram Messenger Inc.): canal por el que los operarios usan la Mini App y reciben avisos. Telegram trata los datos de su servicio según su propia política de privacidad.
• Anthropic, PBC (Estados Unidos): generación de las respuestas del asistente de ayuda. Solo recibe el texto de la conversación y el contexto de tu empresa descrito en el apartado 3; no entrena sus modelos con estos datos.
• Google (Google Workspace): correo corporativo con el que atendemos el soporte.
• Hetzner Online GmbH (Alemania): servidor de vigilancia y copias de seguridad cifradas, alojado en Alemania.
• Proveedor de pagos: el que se indique al pagar, para el cobro de planes y packs y la gestión de tu método de pago.

Cuando un proveedor trata datos fuera del Espacio Económico Europeo (Estados Unidos), lo hace con las garantías del RGPD: certificación en el Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo de la Comisión Europea. También podemos comunicar datos a administraciones públicas, jueces o tribunales cuando la ley lo exija.

6. Cuánto tiempo conservamos los datos

• Los de la cuenta y de uso: mientras la cuenta esté activa.
• Lo que envías a la papelera: 30 días; después se elimina de forma definitiva, con sus fotos y documentos (y de las copias de seguridad, en 30 días como mucho).
• Tras la baja: 30 días para que exportes lo que necesites; después eliminamos todos los datos de la empresa (y de las copias de seguridad, en 30 días como mucho).
• Facturas y datos fiscales: 6 años desde la emisión (Código de Comercio y normativa tributaria), bloqueados y solo para esas obligaciones.
• Registros técnicos de acceso y seguridad: 12 meses.
• Copias de seguridad cifradas: 30 días; las de nuestro proveedor de base de datos, 7 días.
• El registro de la aceptación de las condiciones y de esta política (qué versión, quién y cuándo): mientras dure la cuenta y 6 años después de eliminar la cuenta, como prueba del contrato.
• Conversaciones con el asistente e incidencias: mientras la cuenta esté activa.

7. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas al riesgo: cifrado de las comunicaciones (HTTPS), contraseñas cifradas, aislamiento de los datos de cada empresa en la base de datos, permisos por rol, copias de seguridad diarias (cifradas y guardadas también fuera del proveedor principal), registro de accesos y revisión periódica de la configuración de seguridad. Ningún sistema es infalible; si detectamos una brecha que te afecte, te lo comunicaremos y, cuando proceda, lo notificaremos a la autoridad de control.

8. Tus derechos

Puedes acceder a tus datos, rectificarlos, suprimirlos, oponerte a su tratamiento, limitarlo, pedir su portabilidad y retirar el consentimiento cuando sea la base del tratamiento, escribiendo a info@acota.app desde el correo de tu cuenta o acreditando tu identidad. Te responderemos en el plazo de un mes. Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es). Si eres cliente de una empresa que usa Acota, dirígete primero a esa empresa, que es la responsable de tus datos; nosotros le ayudaremos a atenderte.

9. Cookies y almacenamiento local

Acota usa únicamente cookies técnicas, necesarias para mantener tu sesión y la seguridad del acceso, y el almacenamiento local del navegador para recordar preferencias de interfaz (vista elegida, sonido de los avisos). No usamos cookies de publicidad ni de seguimiento de terceros, por lo que no es necesario pedir tu consentimiento. Puedes borrarlas desde tu navegador; al hacerlo tendrás que volver a iniciar sesión.

10. Menores

Acota es una herramienta profesional dirigida a mayores de 18 años. No tratamos conscientemente datos de menores; si detectamos una cuenta de un menor, la eliminaremos.

11. Cambios en esta política

Si cambiamos esta política de forma relevante, te avisaremos por correo o en el panel antes de que entre en vigor. La fecha de la última actualización figura en la cabecera.