Documento legal
Política de privacidad
Titular: NUVELIT, S.L. · NIF B75912808
Esta política explica cómo trata NUVELIT, S.L. («Opineo») los datos personales de los que es responsable: los de las personas que usan la aplicación, las que reciben una invitación, quien conecta una cuenta de Google, la facturación, la seguridad del servicio, las solicitudes que recibe y quienes visitan la web. Los datos de los autores de las reseñas que los clientes gestionan con Opineo no entran aquí: de ellos Opineo es encargado del cliente, según el contrato de encargo de tratamiento (el «DPA»), que se publica en /legal/encargo-tratamiento. La sección 7 explica qué significa eso para quien ha escrito una reseña.
Opineo es un servicio en línea para gestionar la reputación de negocios locales. Los términos que regulan su uso y contratación están en /legal/terminos.
En esta política, «tu cuenta de acceso» es la cuenta personal con la que entras en Opineo (con email o con Google), y «la cuenta del cliente» es la que agrupa los negocios de la empresa o el profesional que contrata Opineo, como la definen los términos.
1. Responsable del tratamiento
1.1. Quién es el responsable
El responsable del tratamiento es NUVELIT, S.L., con NIF B75912808 y domicilio en Travesía Pico de la Machota, 2, puerta 12, 28293 Zarzalejo (Madrid). El email de contacto es legal@nuvelit.com.
Estos datos están fijados en esta versión de la política. Si cambian, Opineo publica una versión nueva.
1.2. Delegado de protección de datos
Opineo no ha designado un delegado de protección de datos, porque su actividad no encaja en los supuestos en los que lo exigen el art. 37 del Reglamento (UE) 2016/679, General de Protección de Datos («RGPD»), y el art. 34 de la Ley Orgánica 3/2018 («LOPDGDD»). Opineo tiene por escrito el análisis que sostiene esa decisión y lo revisa al menos una vez al año. Para cualquier cuestión sobre tus datos, escribe a legal@nuvelit.com.
2. Qué datos trata Opineo y para qué
Esta sección describe cada tratamiento del que Opineo es responsable: para qué se usan los datos, en qué base jurídica se apoya, qué datos son, de dónde proceden, si estás obligado a facilitarlos, quién los recibe, si salen del Espacio Económico Europeo y cuánto tiempo se conservan. Estas tablas se generan a partir de la misma lista de tratamientos con la que se comprueba de forma automática el funcionamiento del servicio.
Si un negocio se queda sin plan, porque el cliente lo canceló o no lo pagó, Opineo no borra sus datos mientras el cliente no lo pida: se conservan mientras exista el negocio. Los datos que se suprimen desaparecen también de las copias de seguridad de la base de datos en un máximo de 6 horas.
Resumen de los tratamientos:
| Tratamiento | Finalidad | Base jurídica | Plazo |
|---|---|---|---|
| Cuenta de usuario y autenticación | Crear y mantener la cuenta personal con la que accedes a Opineo, autenticarte, gestionar tu sesión y reconocer tu pertenencia a las cuentas y a los negocios de tu cliente. | Ejecución de un contrato (art. 6.1.b RGPD (ejecución del contrato de uso del servicio)) | Mientras tu cuenta de acceso esté activa. Lo que conserva Clerk, el proveedor de autenticación (tu identidad y los datos de sesión), lo conserva según su política de privacidad |
| Invitaciones al equipo | Permitir que un cliente invite a una persona al equipo de uno de sus negocios y que esta acepte o rechace la invitación al entrar en Opineo. | Interés legítimo (art. 6.1.f RGPD) | La invitación es válida 7 días; su email se borra 7 días después de que se acepte, se rechace, se cancele o caduque |
| Identificación del cliente y gestión de la relación contractual | Identificar al cliente, registrar quién acepta en su nombre los términos y el contrato de encargo, avisarle de las versiones nuevas, atender sus oposiciones, suspensiones y bajas anticipadas y conservar la prueba de todo ello. | Ejecución de un contrato (art. 6.1.b RGPD (ejecución del contrato) y, para conservar la prueba, art. 6.1.c RGPD y art. 30 del Código de Comercio) | Mientras exista la relación contractual y 6 años desde la baja efectiva del último negocio de la cuenta |
| Facturación y pagos | Cobrar la suscripción de cada negocio, aplicar las altas, bajas y cambios de plan y conservar la información de facturación. | Ejecución de un contrato (art. 6.1.b RGPD (ejecución del contrato) y art. 6.1.c RGPD (obligaciones mercantiles y fiscales)) | Suscripción: mientras exista el negocio. Registro de los eventos de cobro: hasta 6 años desde la baja efectiva del último negocio de la cuenta. Facturas: 6 años desde su emisión |
| Conexión con Google Business Profile | Conectar la cuenta de Google que elijas para importar las reseñas de tus fichas y publicar en ellas, en tu nombre, las respuestas que apruebes o que tus reglas automaticen. | Ejecución de un contrato (art. 6.1.b RGPD (ejecución del contrato)) | Los tokens, hasta que desconectas la cuenta de Google. El resto de los datos de la conexión (identificador y email de la cuenta de Google), mientras exista el negocio |
| Emails de servicio y avisos | Enviarte por email las alertas de reseñas que configures y los avisos necesarios para prestar el servicio. | Ejecución de un contrato (art. 6.1.b RGPD (prestación del servicio)) | Mientras exista el negocio al que pertenece el aviso |
| Seguridad, prevención de abusos, auditoría y registros técnicos | Proteger el servicio frente a abusos y accesos no autorizados con un límite de frecuencia de peticiones, dejar rastro de las acciones relevantes y diagnosticar fallos. | Interés legítimo (art. 6.1.f RGPD y considerando 49) | Límite de frecuencia: la ventana del límite y una hora más. Auditoría: mientras exista la cuenta del cliente y hasta 6 años desde la baja efectiva de su último negocio; los registros que no pertenecen a ninguna cuenta, 6 años desde su registro. Registros del alojamiento: 1 día |
| Atención de solicitudes y soporte | Atender las solicitudes de soporte, el ejercicio de derechos de protección de datos y los avisos de contenido ilícito que llegan al email del titular, y registrar que se atendieron en plazo. | Obligación legal (art. 6.1.c RGPD (atención de derechos, arts. 12 a 22 RGPD, y avisos de contenido ilícito, Reglamento (UE) 2022/2065); el soporte que pide un cliente y las consultas de quien aún no es cliente, art. 6.1.b RGPD (medidas precontractuales a petición del interesado)) | El mensaje, en el buzón, hasta 3 años desde que se cierra la solicitud y después se borra; el registro de la solicitud, sin contenido, 3 años desde su cierre |
| Registro de la información facilitada y avisos de cambios | Probar qué versión de esta política se te informó al recoger tus datos y avisarte de los cambios sustanciales antes de que se apliquen. | Obligación legal (art. 6.1.c RGPD (arts. 12 y 13 RGPD: deber de informar) y, para conservar la prueba, art. 6.1.f RGPD (interés legítimo en acreditar el cumplimiento, art. 5.2 RGPD)) | Registro de información: mientras exista el usuario y 3 años desde su baja. Avisos: 3 años desde la entrada en vigor de la versión avisada |
| Navegación por la web | Servir las páginas de Opineo, mantener tu sesión y recordar la preferencia de tema que eliges, sin analítica ni publicidad. | Interés legítimo (art. 6.1.f RGPD) | Registros del alojamiento: 1 día. Datos que recibe Clerk en cada visita: los que fija su política de privacidad. Cookies y almacenamiento: los de la política de cookies |
Opineo no envía comunicaciones comerciales, no usa cookies de analítica ni de publicidad y no vende datos personales.
2.1. Cuenta de usuario y autenticación
| Campo | Detalle |
|---|---|
| Finalidad | Crear y mantener la cuenta personal con la que accedes a Opineo, autenticarte, gestionar tu sesión y reconocer tu pertenencia a las cuentas y a los negocios de tu cliente. |
| Base jurídica | Ejecución de un contrato (art. 6.1.b RGPD (ejecución del contrato de uso del servicio)) |
| Categorías de datos | Identificador de usuario del proveedor de autenticación; Email verificado; Nombre y foto de perfil que tengas en tu cuenta de acceso (los que facilitas o los de la cuenta con la que inicias sesión); Estado de la cuenta, fecha de alta y negocios y roles a los que perteneces |
| Origen de los datos | Los facilita la propia persona interesada. |
| ¿Es obligatorio facilitarlos? | Sí. Sin estos datos no puedes crear la cuenta ni acceder a la aplicación. |
| Destinatarios | Clerk (autenticación) (Alta, inicio de sesión y gestión de las sesiones; encargado del tratamiento); Neon (base de datos) (Almacenar los datos del servicio; encargado del tratamiento); Vercel (alojamiento) (Alojar y ejecutar la aplicación y conservar sus registros técnicos; encargado del tratamiento); Equipo del titular (Soporte y administración del servicio; equipo del responsable) |
| Transferencias internacionales | Clerk (autenticación): Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Neon (base de datos): Alemania, Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Vercel (alojamiento): Alemania, Estados Unidos; cláusulas contractuales tipo de la Decisión (UE) 2021/914 (art. 46 RGPD). Cómo obtener una copia: Pidiendo una copia de las cláusulas contractuales tipo a legal@nuvelit.com. |
| Plazo de conservación | Mientras tu cuenta de acceso esté activa. Lo que conserva Clerk, el proveedor de autenticación (tu identidad y los datos de sesión), lo conserva según su política de privacidad. Cuando borras tu cuenta de acceso en el proveedor de autenticación, Opineo vacía tu email, tu nombre y tu foto y desactiva el usuario; en la tabla de usuarios solo queda un identificador interno; los registros de otros tratamientos que guardan tu email (aceptaciones, avisos y alertas enviados, conexión con Google) siguen su propio plazo. El registro técnico de las notificaciones que Opineo recibe del proveedor de autenticación, con tu identificador de usuario en él, se borra a los 30 días. |
Para entrar en Opineo creas una cuenta de acceso. El alta, el inicio de sesión y la gestión de las sesiones los hace el proveedor de autenticación (Clerk), que trata tu IP y los datos de tu navegador para mantener la sesión; Opineo no guarda esos datos de sesión. Opineo guarda a qué cuentas de cliente y a qué negocios perteneces y qué rol tienes en cada uno.
Clerk actúa como encargado de Opineo y pone en el dominio de Opineo las cookies técnicas necesarias para mantener la sesión (política de cookies, /legal/cookies). Todas las páginas de Opineo, también las públicas, cargan su código, de modo que recibe la IP y los datos técnicos de cada visita (apartado 2.10).
2.2. Invitaciones al equipo
| Campo | Detalle |
|---|---|
| Finalidad | Permitir que un cliente invite a una persona al equipo de uno de sus negocios y que esta acepte o rechace la invitación al entrar en Opineo. |
| Base jurídica | Interés legítimo (art. 6.1.f RGPD) |
| Interés legítimo | Que un cliente pueda incorporar al equipo de uno de sus negocios a la persona que invita y que esta pueda aceptar la invitación, sin enviarle ningún email no solicitado. |
| Categorías de datos | Email de la persona invitada; Rol ofrecido y negocio que invita; Estado y fechas de la invitación |
| Origen de los datos | El email de la persona invitada lo facilita quien, en el cliente, crea la invitación; Opineo no lo obtiene de la propia persona. |
| ¿Es obligatorio facilitarlos? | No. La persona invitada no tiene que facilitar nada: lo aporta quien invita. Sin el email no se puede crear la invitación. |
| Destinatarios | Neon (base de datos) (Almacenar los datos del servicio; encargado del tratamiento); Vercel (alojamiento) (Alojar y ejecutar la aplicación y conservar sus registros técnicos; encargado del tratamiento); Equipo del titular (Soporte y administración del servicio; equipo del responsable) |
| Transferencias internacionales | Neon (base de datos): Alemania, Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Vercel (alojamiento): Alemania, Estados Unidos; cláusulas contractuales tipo de la Decisión (UE) 2021/914 (art. 46 RGPD). Cómo obtener una copia: Pidiendo una copia de las cláusulas contractuales tipo a legal@nuvelit.com. |
| Plazo de conservación | La invitación es válida 7 días; su email se borra 7 días después de que se acepte, se rechace, se cancele o caduque. El email se conserva como máximo 14 días: 7 de validez de la invitación y 7 después de que se resuelva. Una tarea automática borra el email y conserva la invitación sin él. Se ejecuta con el mantenimiento periódico del servicio, así que el borrado puede retrasarse unos minutos. No se envía ningún email a la persona invitada: quien invita la informa con el texto que le da la pantalla de invitación. |
Si un cliente de Opineo te invita al equipo de uno de sus negocios, quien invita facilita tu email y, según los términos, debe informarte de ello. Los datos son tu email, el rol que se te ofrece y el negocio al que se te invita. Opineo no te envía ningún email al invitarte: la invitación te espera cuando entres con ese email. La invitación es válida 7 días y tu email se borra 7 días después de que la invitación se acepte, se rechace, se cancele o caduque.
2.3. Identificación del cliente y relación contractual
| Campo | Detalle |
|---|---|
| Finalidad | Identificar al cliente, registrar quién acepta en su nombre los términos y el contrato de encargo, avisarle de las versiones nuevas, atender sus oposiciones, suspensiones y bajas anticipadas y conservar la prueba de todo ello. |
| Base jurídica | Ejecución de un contrato (art. 6.1.b RGPD (ejecución del contrato) y, para conservar la prueba, art. 6.1.c RGPD y art. 30 del Código de Comercio) |
| Categorías de datos | Nombre o razón social y NIF del cliente (datos personales si es un autónomo); Usuario que acepta, su email en ese momento y la fecha; Versiones aceptadas, avisos enviados, oposiciones, suspensiones y bajas anticipadas |
| Origen de los datos | Los facilita la propia persona interesada. |
| ¿Es obligatorio facilitarlos? | Sí. Sin identificar al cliente y registrar la aceptación no se puede contratar el servicio. |
| Destinatarios | Neon (base de datos) (Almacenar los datos del servicio; encargado del tratamiento); Vercel (alojamiento) (Alojar y ejecutar la aplicación y conservar sus registros técnicos; encargado del tratamiento); Resend (envío de emails) (Enviar a los administradores de la cuenta los avisos de versiones nuevas y de cambios; encargado del tratamiento); Equipo del titular (Gestión de la relación contractual y de las retiradas; equipo del responsable) |
| Transferencias internacionales | Neon (base de datos): Alemania, Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Vercel (alojamiento): Alemania, Estados Unidos; cláusulas contractuales tipo de la Decisión (UE) 2021/914 (art. 46 RGPD). Cómo obtener una copia: Pidiendo una copia de las cláusulas contractuales tipo a legal@nuvelit.com.; Resend (envío de emails): Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com. |
| Plazo de conservación | Mientras exista la relación contractual y 6 años desde la baja efectiva del último negocio de la cuenta. Plazo de conservación de la documentación mercantil (art. 30 del Código de Comercio). Pasado el plazo se purgan con un procedimiento documentado. |
Cuando se da de alta el primer negocio de un cliente, se le identifica y se registra quién acepta, en su nombre, los términos y el DPA. Opineo conserva la prueba de lo aceptado, de los avisos de versiones nuevas, de las oposiciones a subencargados y de las suspensiones y bajas anticipadas del servicio. Estos registros se explican en los términos (/legal/terminos).
2.4. Facturación y pagos
| Campo | Detalle |
|---|---|
| Finalidad | Cobrar la suscripción de cada negocio, aplicar las altas, bajas y cambios de plan y conservar la información de facturación. |
| Base jurídica | Ejecución de un contrato (art. 6.1.b RGPD (ejecución del contrato) y art. 6.1.c RGPD (obligaciones mercantiles y fiscales)) |
| Categorías de datos | Nombre del negocio que se da de alta como cliente en el proveedor de cobro; Identificadores de cliente y de suscripción, plan, cantidad, periodos y estado del pago; Registro de los eventos de cobro que comunica el proveedor: identificadores del cliente y de la suscripción, tipo, fecha y modo del evento, estados, importes, moneda y periodos; no incluye tu email, nombre, dirección, teléfono ni NIF de facturación; Datos fiscales de las facturas (razón social o nombre, NIF y domicilio), que el proveedor de cobro emite y guarda por cuenta de Opineo |
| Origen de los datos | El proveedor de cobro comunica a Opineo el resultado de los pagos. Los datos de la tarjeta y los de facturación que pide el proveedor los introduces tú directamente en su página de pago, y Opineo no los guarda. La razón social y el NIF con los que el cliente acepta los términos sí los guarda Opineo (tratamiento de identificación del cliente). |
| ¿Es obligatorio facilitarlos? | Sí. Sin estos datos no se puede contratar ni mantener una suscripción de pago. |
| Destinatarios | Stripe (suscripción y facturación) (Gestionar la suscripción y la facturación por cuenta de Opineo, y emitir y guardar las facturas; encargado del tratamiento); Stripe (pago y prevención del fraude) (Procesar el pago, prevenir el fraude y cumplir sus propias obligaciones legales; responsable independiente); Neon (base de datos) (Almacenar los datos del servicio; encargado del tratamiento); Vercel (alojamiento) (Alojar y ejecutar la aplicación y conservar sus registros técnicos; encargado del tratamiento); Equipo del titular (Gestión de la facturación y de los impagos; equipo del responsable) |
| Transferencias internacionales | Stripe (suscripción y facturación): Irlanda, Estados Unidos; cláusulas contractuales tipo de la Decisión (UE) 2021/914 (art. 46 RGPD). Cómo obtener una copia: Pidiendo una copia de las cláusulas contractuales tipo a legal@nuvelit.com.; Neon (base de datos): Alemania, Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Vercel (alojamiento): Alemania, Estados Unidos; cláusulas contractuales tipo de la Decisión (UE) 2021/914 (art. 46 RGPD). Cómo obtener una copia: Pidiendo una copia de las cláusulas contractuales tipo a legal@nuvelit.com. |
| Plazo de conservación | Suscripción: mientras exista el negocio. Registro de los eventos de cobro: hasta 6 años desde la baja efectiva del último negocio de la cuenta. Facturas: 6 años desde su emisión. Plazo de conservación de la documentación mercantil (art. 30 del Código de Comercio) y de las facturas emitidas (art. 19 del Real Decreto 1619/2012). Los datos de la suscripción se borran con el negocio; el registro de los eventos de cobro se conserva el resto del plazo y se purga después con un procedimiento documentado. El proveedor de cobro conserva sus propios registros según sus obligaciones legales. |
El cobro de las suscripciones lo hace Stripe. Los datos de tu tarjeta y los datos de facturación que pide Stripe los introduces tú en su página de pago. Opineo recibe de Stripe el resultado de cada pago y los identificadores del cliente y de la suscripción, y solo guarda eso, junto con los importes, los estados y los periodos: no guarda tu tarjeta ni el email, el nombre, la dirección, el teléfono o el NIF de facturación que Stripe recoja. La razón social y el NIF con los que el cliente acepta los términos sí los guarda Opineo (apartado 2.3).
Stripe interviene con dos papeles. Es encargado de Opineo para la suscripción y la facturación: emite y guarda por cuenta de Opineo las facturas, que llevan los datos fiscales del cliente (razón social o nombre, NIF y domicilio), y Opineo las conserva 6 años desde su emisión. Y es responsable independiente del procesamiento del pago, de la prevención del fraude y de sus propias obligaciones legales, para lo cual tiene su propia política de privacidad.
2.5. Conexión con Google Business Profile
| Campo | Detalle |
|---|---|
| Finalidad | Conectar la cuenta de Google que elijas para importar las reseñas de tus fichas y publicar en ellas, en tu nombre, las respuestas que apruebes o que tus reglas automaticen. |
| Base jurídica | Ejecución de un contrato (art. 6.1.b RGPD (ejecución del contrato)) |
| Categorías de datos | Identificador y email de la cuenta de Google que conectas; Tokens de acceso y de renovación, que se guardan cifrados; Permiso concedido (gestión de la ficha de empresa) y estado de la conexión; Cuentas de empresa a las que da acceso (nombre, que puede ser el de una persona, tipo y rol) y sus fichas (nombre, código de tienda, teléfono, web y estado de verificación); Reseñas y respuestas de las fichas conectadas, de las que Opineo es encargado del cliente |
| Origen de los datos | Google, a partir del permiso que concedes en su pantalla de consentimiento. |
| ¿Es obligatorio facilitarlos? | No. Conectar Google es voluntario, pero sin la conexión Opineo no puede importar ni responder reseñas. |
| Destinatarios | Google (APIs de Google Business Profile y OpenID) (Atender las llamadas de la conexión, entregar las reseñas y recibir las respuestas publicadas; responsable independiente); Resend (envío de emails) (Enviar a tu equipo, en las alertas que configures, un extracto minimizado de la reseña (sin emails, teléfonos ni URLs y recortado), su valoración y el nombre del local; encargado del tratamiento); Neon (base de datos) (Almacenar los datos del servicio; encargado del tratamiento); Vercel (alojamiento) (Alojar y ejecutar la aplicación y conservar sus registros técnicos; encargado del tratamiento) |
| Transferencias internacionales | Google (APIs de Google Business Profile y OpenID): Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Resend (envío de emails): Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Neon (base de datos): Alemania, Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Vercel (alojamiento): Alemania, Estados Unidos; cláusulas contractuales tipo de la Decisión (UE) 2021/914 (art. 46 RGPD). Cómo obtener una copia: Pidiendo una copia de las cláusulas contractuales tipo a legal@nuvelit.com. |
| Plazo de conservación | Los tokens, hasta que desconectas la cuenta de Google. El resto de los datos de la conexión (identificador y email de la cuenta de Google), mientras exista el negocio. Al desconectar, Opineo revoca el acceso en Google y borra los tokens. Si Google no responde, la revocación queda en cola con el token cifrado y se reintenta; si tras ocho intentos no se confirma, el token cifrado se conserva hasta que el equipo del titular la resuelva. El registro de una revocación, sin token, se borra a los 90 días de completarse, y los estados temporales del alta de la conexión, a las 24 horas de usarse o caducar. Las reseñas y respuestas importadas siguen el contrato de encargo con el cliente: Opineo no las borra sin orden del cliente y las conserva mientras exista el negocio. |
Para importar las reseñas y publicar respuestas, conectas una cuenta de Google desde la pantalla de consentimiento de Google. La sección 6 detalla qué datos se obtienen de las APIs de Google y cómo se protegen.
2.6. Emails de servicio y avisos
| Campo | Detalle |
|---|---|
| Finalidad | Enviarte por email las alertas de reseñas que configures y los avisos necesarios para prestar el servicio. |
| Base jurídica | Ejecución de un contrato (art. 6.1.b RGPD (prestación del servicio)) |
| Categorías de datos | Tu email; Contenido del aviso (por ejemplo, el texto minimizado de una reseña y un enlace a ella); Registro del envío: fecha, destinatario, asunto, resultado y los primeros 240 caracteres del aviso |
| Origen de los datos | Los facilita la propia persona interesada. |
| ¿Es obligatorio facilitarlos? | No. Si desactivas las alertas no recibirás esos emails; los avisos legales y de servicio se envían a los administradores de la cuenta. |
| Destinatarios | Resend (envío de emails) (Enviar los emails de servicio (solo texto, sin píxeles de seguimiento); encargado del tratamiento); Neon (base de datos) (Almacenar los datos del servicio; encargado del tratamiento); Vercel (alojamiento) (Alojar y ejecutar la aplicación y conservar sus registros técnicos; encargado del tratamiento) |
| Transferencias internacionales | Resend (envío de emails): Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Neon (base de datos): Alemania, Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Vercel (alojamiento): Alemania, Estados Unidos; cláusulas contractuales tipo de la Decisión (UE) 2021/914 (art. 46 RGPD). Cómo obtener una copia: Pidiendo una copia de las cláusulas contractuales tipo a legal@nuvelit.com. |
| Plazo de conservación | Mientras exista el negocio al que pertenece el aviso. El registro del envío se conserva para poder reconstruir qué se avisó y cuándo; el proveedor de envío conserva sus propios registros. |
Opineo envía emails de solo texto: las alertas de reseñas que configures y los avisos de servicio. No llevan píxeles de seguimiento.
2.7. Seguridad, prevención de abusos, auditoría y registros técnicos
| Campo | Detalle |
|---|---|
| Finalidad | Proteger el servicio frente a abusos y accesos no autorizados con un límite de frecuencia de peticiones, dejar rastro de las acciones relevantes y diagnosticar fallos. |
| Base jurídica | Interés legítimo (art. 6.1.f RGPD y considerando 49) |
| Interés legítimo | Garantizar la seguridad de la red y de la información, prevenir abusos y poder reconstruir lo ocurrido en el servicio. |
| Categorías de datos | Código calculado a partir de la dirección IP con una clave secreta (la IP no se guarda) o tu identificador de usuario, para limitar la frecuencia de peticiones; Registro de auditoría: usuario, negocio, acción, resultado, fecha, identificador de correlación y, en los cambios de nombre, el nombre anterior y el nuevo del negocio o del local; Registros técnicos del alojamiento, sin emails ni textos de reseñas |
| Origen de los datos | Los facilita la propia persona interesada. |
| ¿Es obligatorio facilitarlos? | Sí. Son inherentes al uso del servicio: sin ellos no se puede ofrecer de forma segura. |
| Destinatarios | Vercel (alojamiento) (Servir la aplicación y conservar los registros técnicos de las peticiones; encargado del tratamiento); Neon (base de datos) (Almacenar los datos del servicio; encargado del tratamiento); Equipo del titular (Seguridad, soporte y auditoría del servicio; equipo del responsable) |
| Transferencias internacionales | Vercel (alojamiento): Alemania, Estados Unidos; cláusulas contractuales tipo de la Decisión (UE) 2021/914 (art. 46 RGPD). Cómo obtener una copia: Pidiendo una copia de las cláusulas contractuales tipo a legal@nuvelit.com.; Neon (base de datos): Alemania, Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com. |
| Plazo de conservación | Límite de frecuencia: la ventana del límite y una hora más. Auditoría: mientras exista la cuenta del cliente y hasta 6 años desde la baja efectiva de su último negocio; los registros que no pertenecen a ninguna cuenta, 6 años desde su registro. Registros del alojamiento: 1 día. Los contadores caducados se borran con la tarea de mantenimiento. La auditoría se conserva para poder reconstruir lo ocurrido en el servicio y defenderse de reclamaciones, durante el plazo de conservación de la documentación mercantil (art. 30 del Código de Comercio) y de prescripción de las acciones contractuales; tras la supresión de un usuario, sus registros solo quedan unidos a un identificador interno sin datos que lo identifiquen. Pasado el plazo se purga con un procedimiento documentado. |
Para frenar abusos, Opineo limita el número de peticiones que llegan desde una misma conexión. Para ello no guarda tu dirección IP, sino un código que se calcula a partir de ella con una clave secreta y que no permite recuperarla; cuando has iniciado sesión, usa tu identificador de usuario. Las acciones relevantes dejan un registro de auditoría, que se conserva mientras exista la cuenta del cliente y 6 años desde la baja de su último negocio, y después se purga. Los registros técnicos del alojamiento se conservan 1 día y no contienen emails ni textos de reseñas.
2.8. Atención de solicitudes y soporte
| Campo | Detalle |
|---|---|
| Finalidad | Atender las solicitudes de soporte, el ejercicio de derechos de protección de datos y los avisos de contenido ilícito que llegan al email del titular, y registrar que se atendieron en plazo. |
| Base jurídica | Obligación legal (art. 6.1.c RGPD (atención de derechos, arts. 12 a 22 RGPD, y avisos de contenido ilícito, Reglamento (UE) 2022/2065); el soporte que pide un cliente y las consultas de quien aún no es cliente, art. 6.1.b RGPD (medidas precontractuales a petición del interesado)) |
| Categorías de datos | Email de quien escribe y contenido de su mensaje; Documento de identidad, solo ante una duda razonable sobre la identidad, y sin conservarlo tras verificarla; Registro de la solicitud sin su contenido: tipo, fechas, plazo y resultado |
| Origen de los datos | Los facilita la propia persona interesada. |
| ¿Es obligatorio facilitarlos? | No. Escribir es voluntario; para atender una solicitud hace falta el email desde el que se escribe. |
| Destinatarios | Equipo del titular (Atender la solicitud desde el buzón de contacto del titular; equipo del responsable); Hostinger (buzón de email del titular) (Alojar el buzón de email al que llegan las solicitudes y el soporte; encargado del tratamiento); Neon (base de datos) (Almacenar los datos del servicio; encargado del tratamiento); Vercel (alojamiento) (Alojar y ejecutar la aplicación y conservar sus registros técnicos; encargado del tratamiento) |
| Transferencias internacionales | Neon (base de datos): Alemania, Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Vercel (alojamiento): Alemania, Estados Unidos; cláusulas contractuales tipo de la Decisión (UE) 2021/914 (art. 46 RGPD). Cómo obtener una copia: Pidiendo una copia de las cláusulas contractuales tipo a legal@nuvelit.com. |
| Plazo de conservación | El mensaje, en el buzón, hasta 3 años desde que se cierra la solicitud y después se borra; el registro de la solicitud, sin contenido, 3 años desde su cierre. Plazo de prescripción de las infracciones de la normativa de protección de datos. El registro se purga con un procedimiento documentado. |
Cuando escribes a legal@nuvelit.com para pedir soporte, ejercer un derecho o avisar de un contenido ilícito, Opineo trata tu mensaje para atenderlo. Si todavía no eres cliente, Opineo trata tu consulta para responderte. El mensaje se guarda en el buzón de contacto del titular hasta 3 años desde que se cierra la solicitud. De cada solicitud de derechos se registra su tipo, sus fechas y su resultado, nunca su contenido.
2.9. Registro de la información facilitada y avisos de cambios
| Campo | Detalle |
|---|---|
| Finalidad | Probar qué versión de esta política se te informó al recoger tus datos y avisarte de los cambios sustanciales antes de que se apliquen. |
| Base jurídica | Obligación legal (art. 6.1.c RGPD (arts. 12 y 13 RGPD: deber de informar) y, para conservar la prueba, art. 6.1.f RGPD (interés legítimo en acreditar el cumplimiento, art. 5.2 RGPD)) |
| Categorías de datos | Usuario, punto de recogida, versiones informadas con su huella y fecha; Aviso de cambio sustancial: destinatario, email, envío, primera visualización y descarte |
| Origen de los datos | Los facilita la propia persona interesada. |
| ¿Es obligatorio facilitarlos? | Sí. Se generan al usar el servicio: son la prueba de que se te informó. |
| Destinatarios | Resend (envío de emails) (Enviar el aviso por email de un cambio sustancial de esta política; encargado del tratamiento); Neon (base de datos) (Almacenar los datos del servicio; encargado del tratamiento); Vercel (alojamiento) (Alojar y ejecutar la aplicación y conservar sus registros técnicos; encargado del tratamiento); Equipo del titular (Consulta de los registros, para probar qué se informó; equipo del responsable) |
| Transferencias internacionales | Resend (envío de emails): Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Neon (base de datos): Alemania, Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com.; Vercel (alojamiento): Alemania, Estados Unidos; cláusulas contractuales tipo de la Decisión (UE) 2021/914 (art. 46 RGPD). Cómo obtener una copia: Pidiendo una copia de las cláusulas contractuales tipo a legal@nuvelit.com. |
| Plazo de conservación | Registro de información: mientras exista el usuario y 3 años desde su baja. Avisos: 3 años desde la entrada en vigor de la versión avisada. Plazo de prescripción de las infracciones de la normativa de protección de datos. Se purgan con un procedimiento documentado. |
Al recoger tus datos, Opineo te muestra un resumen de esta política y registra qué versión se te informó, en qué punto y cuándo, para poder probarlo. Si una versión nueva cambia algo sustancial, Opineo te avisa por email y dentro de la aplicación al menos 30 días antes de que se aplique (sección 8).
2.10. Navegación por la web
| Campo | Detalle |
|---|---|
| Finalidad | Servir las páginas de Opineo, mantener tu sesión y recordar la preferencia de tema que eliges, sin analítica ni publicidad. |
| Base jurídica | Interés legítimo (art. 6.1.f RGPD) |
| Interés legítimo | Que la web funcione, sea segura y recuerde las preferencias que pides, usando solo cookies y almacenamiento técnicos o de preferencia. |
| Categorías de datos | Datos técnicos de cada petición (IP, navegador y página solicitada) que trata el alojamiento al servir la web y que recibe también Clerk, el proveedor de autenticación, porque todas las páginas, también las públicas, cargan su código, y al servir las imágenes de perfil del menú de la cuenta y de la pantalla de equipo; Cookies de sesión del proveedor de autenticación y preferencia de tema guardada en tu navegador |
| Origen de los datos | Los facilita la propia persona interesada. |
| ¿Es obligatorio facilitarlos? | Sí. Son inherentes a la navegación: sin ellos no se puede servir la web ni mantener la sesión. |
| Destinatarios | Vercel (alojamiento) (Servir las páginas y conservar los registros técnicos de las peticiones; encargado del tratamiento); Clerk (autenticación) (Gestionar la sesión con sus cookies técnicas en el dominio de Opineo y recibir la IP y los datos técnicos de cada visita, también en las páginas públicas y sin sesión, porque todas las páginas cargan su código, y cuando tu navegador carga las imágenes de perfil; encargado del tratamiento) |
| Transferencias internacionales | Vercel (alojamiento): Alemania, Estados Unidos; cláusulas contractuales tipo de la Decisión (UE) 2021/914 (art. 46 RGPD). Cómo obtener una copia: Pidiendo una copia de las cláusulas contractuales tipo a legal@nuvelit.com.; Clerk (autenticación): Estados Unidos; Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD). Cómo obtener una copia: Consultando la certificación del proveedor en la lista del Marco de Privacidad de Datos (dataprivacyframework.gov) o pidiendo una copia de la garantía a legal@nuvelit.com. |
| Plazo de conservación | Registros del alojamiento: 1 día. Datos que recibe Clerk en cada visita: los que fija su política de privacidad. Cookies y almacenamiento: los de la política de cookies. La preferencia de tema vive en tu navegador y la borras tú; Opineo no la recibe. |
El alojamiento trata los datos técnicos de cada petición (IP, navegador y página solicitada) para servir la web. Todas las páginas de Opineo, también las públicas, cargan el código del proveedor de autenticación (Clerk) desde su servidor, que en producción es un subdominio de Opineo gestionado por Clerk. Por eso Clerk recibe tu IP y los datos técnicos de cada visita, aunque no inicies sesión, y también cuando tu navegador carga las imágenes de perfil. Clerk los conserva el tiempo que fija su política de privacidad, como encargado de Opineo. En tu navegador solo se guardan las cookies técnicas de la sesión y tu preferencia de tema, que no requieren tu consentimiento; la lista completa está en la política de cookies (/legal/cookies).
3. Tus derechos
Tienes derecho a acceder a tus datos, rectificarlos, pedir su supresión, oponerte a los tratamientos basados en el interés legítimo, pedir la limitación del tratamiento, recibir tus datos en un formato estructurado (portabilidad) y no ser objeto de decisiones basadas únicamente en un tratamiento automatizado con efectos jurídicos sobre ti.
Puedes ejercerlos escribiendo a legal@nuvelit.com o por correo postal a Travesía Pico de la Machota, 2, puerta 12, 28293 Zarzalejo (Madrid). Si tu solicitud llega por otro canal, también se atiende, y el plazo cuenta desde que llega a Opineo. Ejercerlos es gratuito. Opineo responde en el plazo de 1 mes desde que recibe la solicitud; ese plazo puede prorrogarse 2 meses más cuando la solicitud sea compleja o haya muchas, y en ese caso Opineo te lo comunica dentro del primer mes con el motivo.
Para proteger tus datos, Opineo comprueba tu identidad de forma proporcionada. Si escribes desde el email de tu cuenta de acceso, basta con eso. Si escribes desde otro, Opineo te pide que lo confirmes desde el email de tu cuenta. Solo si hay una duda razonable te pedirá un documento de identidad, y no lo conservará una vez comprobada tu identidad.
3.1. Derecho de oposición
Puedes oponerte en cualquier momento, por motivos relacionados con tu situación particular, a los tratamientos que se basan en el interés legítimo: las invitaciones al equipo (apartado 2.2), la seguridad, la prevención de abusos, la auditoría y los registros técnicos (apartado 2.7), la conservación de la prueba de la información que Opineo te facilita (apartado 2.9) y la navegación por la web (apartado 2.10). Escribe a legal@nuvelit.com.
Opineo dejará de tratar tus datos salvo que acredite motivos legítimos imperiosos que prevalezcan sobre tus intereses, derechos y libertades, o que los necesite para formular, ejercer o defender reclamaciones.
3.2. Reclamación ante la autoridad de control
Si crees que tus datos no se tratan conforme a la normativa, puedes presentar una reclamación ante la Agencia Española de Protección de Datos, en su sede electrónica (https://sedeagpd.gob.es) o en la calle Jorge Juan, 6, 28001 Madrid.
4. Decisiones automatizadas
Opineo solo toma una decisión de forma automática: suspender el acceso de un negocio cuando el proveedor de pagos confirma que su suscripción ha quedado en impago consumado, una vez agotados los reintentos de cobro (cláusula 4.2 de los términos). Cuando el cliente es un autónomo, esa suspensión puede producir efectos jurídicos sobre una persona física. La decisión es necesaria para ejecutar el contrato (art. 22.2.a del RGPD), se basa solo en el estado del pago que comunica el proveedor de pagos y dura hasta que se paga. Puedes pedir que la revise una persona de Opineo, explicar tu punto de vista e impugnarla escribiendo a legal@nuvelit.com.
Opineo no toma ninguna otra decisión basada solo en un tratamiento automatizado que produzca efectos jurídicos sobre ti o te afecte de modo similar. La inteligencia artificial de Opineo trata el texto de las reseñas por cuenta del cliente, que es quien decide si publica una respuesta, según el DPA.
5. Menores
Opineo es un servicio profesional que se dirige a empresas y autónomos y no está dirigido a menores de 18 años. Quien lo usa lo hace en nombre de un cliente empresarial o profesional. Si crees que un menor ha facilitado datos a Opineo, escribe a legal@nuvelit.com y Opineo los suprimirá.
6. Datos que Opineo obtiene de Google
6.1. Qué datos, para qué y cómo se guardan
Al conectar Google, Opineo pide estos tres permisos y ningún otro: openid y email, para identificar la cuenta de Google que conectas, y https://www.googleapis.com/auth/business.manage, para gestionar la ficha de empresa. Con ellos obtiene:
- el identificador y el email de la cuenta de Google que conectas;
- las cuentas de empresa a las que esa cuenta da acceso (nombre, que puede ser el de una persona, tipo y rol) y sus fichas (nombre, código de tienda, teléfono, web y estado de verificación);
- las reseñas de esas fichas y las respuestas ya publicadas.
Los usa solo para prestar las funciones que el cliente ha contratado: identificar la conexión, importar y organizar las reseñas, redactar borradores y respuestas y publicar, en su nombre, las respuestas que se aprueben o que sus reglas automaticen, esto último solo después de que el cliente haya dado su consentimiento expreso a la publicación automática en Opineo. Los tokens de acceso y de renovación se guardan cifrados y solo los lee el servidor para llamar a Google.
6.2. Con quién se comparten
Los datos de Google se guardan en la base de datos y el alojamiento del servicio (Neon y Vercel). Para redactar borradores y respuestas, el texto de las reseñas, minimizado (sin emails, teléfonos ni URLs y recortado), llega a un proveedor de inteligencia artificial que actúa por cuenta del cliente, a través de OpenRouter y de los proveedores de modelos que figuran en la lista de subencargados (/legal/subencargados); estos proveedores declaran retención cero y no entrenamiento. Si configuras alertas por email, un extracto minimizado de la reseña (sin emails, teléfonos ni URLs y recortado), su valoración y el nombre del local llegan a tu equipo a través del proveedor de envío de emails (Resend). No se comparten con nadie más, salvo que una ley lo exija.
6.3. Cómo revocar el acceso
Puedes desconectar Google en Opineo, que revoca el acceso en Google y borra los tokens, o retirar el permiso a Opineo en la configuración de seguridad de tu cuenta de Google. Si retiras el permiso en Google, la conexión pasa a no válida y Opineo deja de poder leer tus fichas.
6.4. Declaración de uso limitado
El uso que hace Opineo de la información que recibe de las APIs de Google, y su transferencia a cualquier otra aplicación, se ajustan a la Política de datos de usuario de los servicios de API de Google, incluidos sus requisitos de uso limitado. En inglés, tal como la exige Google: "Opineo's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements."
En concreto:
- Opineo no usa esos datos para publicidad ni los vende.
- Opineo no usa esos datos para entrenar, mejorar ni evaluar ningún modelo de inteligencia artificial, propio ni de terceros.
- Ninguna persona de Opineo lee el texto ni el autor de una reseña, salvo con tu consentimiento para un caso concreto que pidas a Opineo, por motivos de seguridad (por ejemplo, investigar un abuso), para cumplir la ley o con datos agregados, con los que no se identifica a nadie, para operaciones internas. Cuando una persona del equipo lee una reseña, elige uno de esos motivos y la lectura queda registrada con su motivo.
7. Si has escrito una reseña
Si eres el autor de una reseña de un negocio que usa Opineo, el responsable de tus datos es ese negocio, no Opineo. Opineo es su encargado: importa la reseña desde el proveedor de reputación, la analiza, redacta con inteligencia artificial una respuesta a partir de un texto minimizado y la publica por cuenta del negocio.
Tus derechos sobre esos datos los ejerces ante el negocio. Si te diriges a Opineo, Opineo traslada tu solicitud en un máximo de 5 días hábiles al negocio, si es cliente de Opineo, y te responde que la ha trasladado o que debes dirigirte directamente al negocio. Para retirar o modificar la reseña publicada, dirígete también a Google, que es responsable de ese servicio. La respuesta del negocio puede haberse redactado con ayuda de inteligencia artificial.
Las condiciones del encargo están en el DPA (/legal/encargo-tratamiento) y los proveedores que intervienen, en la lista de subencargados (/legal/subencargados).
8. Cambios de esta política
Todas las versiones de esta política se conservan y se pueden consultar, con su fecha de entrada en vigor, en /legal/privacidad/historial. Las correcciones menores solo se publican.
Si una versión nueva cambia sustancialmente las finalidades, las bases jurídicas, las categorías de datos, los destinatarios, las transferencias, los plazos de conservación, los derechos o el responsable, Opineo te avisa por email y con un aviso en la aplicación al menos 30 días antes de que se aplique. No tienes que aceptar nada: la política es informativa. Solo si una norma o una autoridad impone el cambio en un plazo más corto, Opineo te avisará en cuanto sea posible y explicará el motivo en el aviso.
9. Relación con los términos y el DPA
Esta política complementa los términos (/legal/terminos) y el DPA (/legal/encargo-tratamiento). El DPA rige el tratamiento de los datos de los autores de las reseñas, de los que Opineo es encargado; esta política rige el resto. Si tienes dudas sobre cuál se aplica a tus datos, escribe a legal@nuvelit.com.