Política de privacidad

1. Responsable del tratamiento y contacto

El responsable del tratamiento de tus datos es VERTOM AI sp. z o.o., ul. Żurawia 45, 00-680 Warszawa, KRS 0001248500, NIP 7011319192. Para cualquier asunto relacionado con los datos personales, escribe a [email protected]. No hemos designado un delegado de protección de datos; esta dirección es el punto de contacto para asuntos de protección de datos.

2. Qué datos tratamos y de dónde los obtenemos

Cuenta: dirección de correo electrónico, nombre y apellidos, contraseña en forma de hash irreversible, idioma seleccionado, fecha de confirmación de la dirección de correo electrónico, fecha y versión de los Términos de servicio y consentimientos aceptados, secreto de autenticación de dos factores (cifrado), si lo activas. Los proporcionas tú al registrarte y en la configuración.

Organización: nombre de la empresa, zona horaria, descripción de la oferta, exclusiones y ámbito de actividad, lista de fuentes y palabras clave escaneadas, calendario de escaneos, canales de notificación (direcciones de correo electrónico, números de teléfono, direcciones de webhook y canales de Slack que indiques; los secretos de integración están cifrados). Los proporciona el propietario o un miembro del equipo.

Facturación: nombre de la empresa, NIP, dirección, dirección de correo electrónico para facturas, identificadores de cliente y suscripción en el sistema Stripe, historial de pagos y facturas. No vemos ni almacenamos los datos de la tarjeta: se envían exclusivamente a Stripe.

Equipo: dirección de correo electrónico de la persona invitada, rol, quién la invitó. Los proporciona la persona que invita.

Registro de seguridad: quién, cuándo y qué acción realizó en la organización (p. ej., cambio de configuración, invitación, exportación de datos) y, por parte del operador, cada acceso a datos personales fuera del funcionamiento habitual del servicio.

Datos técnicos: dirección IP e identificador del navegador al iniciar sesión, registrarse y aceptar los Términos de servicio; dirección IP en intentos fallidos de inicio de sesión; eventos de errores de la aplicación con los datos personales eliminados; eventos de producto (p. ej., «asistente completado», «prueba iniciada») asignados al identificador de la organización, no a una persona.

Fuente de adquisición: parámetros de campaña de la dirección desde la que abriste nuestro sitio (utm), dirección de la página que te remitió a nosotros, primera subpágina visitada y hora de acceso, así como, si respondes, la respuesta a la pregunta «cómo nos conociste» en el asistente. Los guardamos al registrarte, en la cuenta de la organización.

Correspondencia: el contenido de los mensajes que nos envías y tu dirección de correo electrónico.

No tratamos ni solicitamos datos tuyos de categorías especiales.

3. Para qué y sobre qué base

Prestación del servicio: creación y gestión de la cuenta, escaneo, notificaciones, facturación, gestión del equipo, respuestas a tus solicitudes: art. 6 apartado 1 letra b del RGPD (contrato del que eres parte o en cuyo nombre actúas).

Emisión y conservación de facturas, liquidaciones fiscales, respuesta a solicitudes de personas y autoridades: art. 6, apartado 1, letra c del RGPD (obligación legal).

Seguridad — bloqueo de intentos de intrusión, detección de abusos, registro de seguridad, monitoreo de errores, copias de seguridad: art. 6, apartado 1, letra f del RGPD (nuestro interés legítimo en proteger el servicio y a sus usuarios).

Comprender cómo se utiliza el producto — recuento de eventos del producto a nivel de organización, sin cookies y sin identificar a la persona: art. 6, apartado 1, letra f del RGPD (interés legítimo en desarrollar el producto). Puedes oponerte a ello (sección 8).

Determinar la fuente de adquisición del cliente — parámetros de campaña, página de referencia y respuesta a la pregunta «cómo nos conociste»: art. 6, apartado 1, letra f del RGPD (interés legítimo en evaluar la eficacia de los canales mediante los cuales llegamos a los clientes). Puedes oponerte a ello (sección 8).

Documentación de la aceptación de los Términos y condiciones y de los consentimientos: art. 6, apartado 1, letras c y f del RGPD (obligación de responsabilidad del art. 7, apartado 1 del RGPD y nuestro interés en demostrar el contenido del contrato).

Información sobre novedades del producto por e-mail: exclusivamente con tu consentimiento (art. 6, apartado 1, letra a del RGPD y art. 398 de la Ley de Comunicaciones Electrónicas). Puedes retirar tu consentimiento en cualquier momento en la configuración de la cuenta; la retirada no afecta a la licitud de los envíos anteriores. Los mensajes necesarios para la prestación del servicio — sobre leads, pagos, seguridad de la cuenta y cambios en los Términos y condiciones — no constituyen información comercial y no requieren consentimiento.

La entrega de datos es voluntaria, pero sin dirección de e-mail, contraseña y aceptación de los Términos y condiciones no es posible crear una cuenta, y sin los datos de facturación no es posible contratar un plan.

4. Durante cuánto tiempo conservamos los datos

Datos de la cuenta y de la organización: durante la vigencia del contrato y, tras la solicitud de eliminación, un período de gracia de 30 días, durante el cual se puede revocar la decisión; después los eliminamos de forma irreversible.

Facturas y datos necesarios para su emisión: 5 años desde el final del año fiscal en el que surgió la obligación tributaria.

Registro de seguridad de la organización: hasta la eliminación de la organización; conservamos las entradas relativas al ejercicio de los derechos de las personas de forma anonimizada (sin indicar quién actuó) para demostrar que la solicitud fue atendida.

Registros de aceptación de los Términos y condiciones y de los consentimientos: durante la vigencia del contrato y 3 años después de su finalización (plazo de prescripción de reclamaciones).

Bloqueo tras inicios de sesión fallidos: 1 hora. Sesión: token de acceso 15 minutos, renovación hasta 14 días, sesión completa no más de 30 días.

Paquete con la exportación de datos de la cuenta: 24 horas desde su generación. Eventos de error en el sistema de monitoreo: 90 días. Copias de seguridad del servidor: según el calendario del proveedor de hosting; los datos eliminados de la base de datos desaparecen de las copias tras su rotación.

5. A quién comunicamos los datos

Utilizamos proveedores que procesan datos en nuestro nombre y con base en contratos de encargo de tratamiento: hosting y copias de seguridad, procesamiento de pagos, envío de e-mails y SMS, monitoreo de errores, analítica del producto, facturación. La lista completa y actualizada, con el país y la función de cada uno, está disponible en useleadscanner.com/legal/subprocessors.

Stripe Payments Europe Ltd. es, en materia de prevención de fraudes y requisitos regulatorios, responsable independiente del tratamiento de datos de pago; su política de privacidad está disponible en stripe.com/privacy.

Podemos comunicar datos a autoridades públicas cuando dicha obligación resulte de una disposición legal, así como a asesores legales y contables sujetos a secreto profesional, en la medida necesaria para sus funciones.

No vendemos datos ni los compartimos con fines de marketing de terceros.

6. Transferencia de datos fuera del Espacio Económico Europeo

Almacenamos los datos en servidores del EEE. Algunos proveedores (procesamiento de pagos, envío de e-mails, monitoreo de errores) tienen sede en Estados Unidos. Les transferimos datos con base en la decisión de adecuación de la Comisión Europea en el marco del EU-U.S. Data Privacy Framework y, en caso de su anulación, con base en las cláusulas contractuales tipo de la Comisión, celebradas con cada uno de ellos. El proveedor del modelo de lenguaje utilizado en modo IA (OpenAI) procesa el contenido de las entradas en servidores de Estados Unidos exclusivamente con base en las cláusulas contractuales tipo incorporadas al contrato de encargo de tratamiento. Facilitaremos una copia de las cláusulas previa solicitud.

7. Cookies y almacenamiento del navegador

El sitio useleadscanner.com no instala sus propias cookies. La analítica de visitas funciona sin ellas: el identificador de visita no está vinculado a una persona y no persiste tras cerrar la pestaña, y la dirección IP se descarta del lado del proveedor. No utilizamos herramientas publicitarias. Servimos las fuentes desde nuestro propio servidor, sin conexiones con terceros.

En la primera visita preguntamos una sola cosa: si se permite cargar el calendario de Calendly en la página de implementación. Hasta que se dé el consentimiento, el calendario no se carga y no se crea ninguna cookie de Calendly; en su lugar, ves un enlace que abre Calendly en una nueva pestaña, ya bajo sus condiciones. Recordamos únicamente la respuesta (la clave leadscanner.consent en el almacenamiento local), porque sin ella preguntaríamos cada vez que entraras; puedes retirar el consentimiento debajo del calendario. Este registro en sí mismo también constituye almacenamiento de información en tu dispositivo en el sentido del art. 399, apartado 1, de la Ley de Derecho de las Comunicaciones Electrónicas (ustawa Prawo komunikacji elektronicznej); es necesario para prestar el servicio que solicitas —recordar tu elección—, por lo que no requiere consentimiento (art. 399, apartado 3, punto 2). La denegación no bloquea nada salvo el calendario integrado en la página.

El panel app.useleadscanner.com instala una cookie: ls_refresh, que mantiene tu sesión después de iniciar sesión. Es necesaria para prestar el servicio que has solicitado, está disponible exclusivamente para el servidor (HttpOnly) y se transmite únicamente mediante una conexión cifrada. Caduca después de 14 días o al cerrar sesión. En virtud del art. 399, apartado 3, de la Ley de Derecho de las Comunicaciones Electrónicas, no requiere consentimiento y el banner no le es aplicable.

El panel utiliza el almacenamiento local del navegador (localStorage) para recordar el asistente de configuración no terminado y tus preferencias de interfaz. Estos datos no salen de tu navegador, son necesarios para el funcionamiento de las funciones que utilizas (art. 399, apartado 3, punto 2) y desaparecen al cerrar sesión o al borrar los datos del sitio.

La analítica de producto en el panel funciona sin cookies y sin almacenamiento persistente: el identificador es la organización, no la persona, y la dirección IP se descarta del lado del proveedor.

8. Tus derechos

Tienes derecho de acceso a tus datos, rectificación, eliminación, limitación del tratamiento, portabilidad y oposición al tratamiento basado en el interés legítimo, incluida la analítica del producto. Puedes retirar el consentimiento de marketing en cualquier momento.

Puedes realizar la mayoría de estas acciones tú mismo en el panel: puedes editar los datos de la cuenta y de la organización en la configuración, descargar una copia de todos los datos con un clic («Descargar datos») y eliminar la cuenta y la organización en el mismo lugar. Dirige las demás solicitudes a [email protected]; respondemos en el plazo de un mes y, en asuntos complejos, informamos sobre la prórroga.

Tienes derecho a presentar una reclamación ante el Presidente de la Oficina de Protección de Datos Personales (ul. Stawki 2, 00-193 Warszawa, uodo.gov.pl) o ante la autoridad de control del país de tu residencia habitual.

9. Decisiones automatizadas

No tomamos decisiones sobre ti basadas exclusivamente en el tratamiento automatizado que produzcan efectos jurídicos o te afecten de modo similar significativo. El bloqueo automático tras cinco inicios de sesión fallidos dura una hora y sirve para proteger tu cuenta.

10. Seguridad

Almacenamos las contraseñas exclusivamente como hashes Argon2. Las conexiones están cifradas. Los secretos de integración están cifrados en reposo. Los datos de cada organización están aislados e identificados mediante identificadores aleatorios. Las cuentas de los operadores requieren autenticación de dos factores, y cada lectura de datos personales por un operador queda registrada. Recomendamos activar también la autenticación de dos factores en tu cuenta.

11. Autores de las entradas y cambios en la política

Tratamos los datos de los autores de entradas públicas leídas por el sistema como corresponsable del tratamiento junto con el Cliente que indicó la Fuente, conforme al acuerdo de corresponsabilidad (useleadscanner.com/legal/joint-controller-arrangement). Hasta el 6 de septiembre de 2026, la política indicaba que los tratábamos en nombre del Cliente como processor; esto no se correspondía con el funcionamiento del servicio. La Información para autores de entradas describe qué sucede con dicha entrada y cómo oponerse a ello: useleadscanner.com/legal/notice-for-authors.

Modificamos la política cuando cambian el producto, los proveedores o la ley. Te informamos por correo electrónico o en el panel de los cambios importantes para ti. Fecha de entrada en vigor de la versión actual: 7 de septiembre de 2026.