Política de privacidad

Última actualización: 3 de noviembre de 2026.

1. Responsable y contacto

El responsable de los datos de cuenta, facturación, seguridad y relación comercial es Derek Sanz Chiorean, profesional autónomo con NIF 47479047D y domicilio profesional en Carrer De La Generalitat, 8, Alcanar, que presta Oteaya bajo el nombre comercial Wakefold. Sitio web: https://wakefold.com. Contacto: [email protected].

2. Ámbito y funciones de las partes

Esta política cubre a quienes visitan el sitio, crean una cuenta, reciben una invitación a un equipo, utilizan la aplicación o la API, contratan un plan o se ponen en contacto con nosotros. Oteaya está dirigido a profesionales y organizaciones.

Para los datos de cuenta, facturación, seguridad y funcionamiento de la plataforma, el prestador actúa como responsable. En el contenido que una organización cliente introduce o configura en sus monitores, la organización será responsable y Oteaya podrá actuar como encargado únicamente cuando trate esos datos siguiendo sus instrucciones documentadas. La función y responsabilidad se determinan según el tratamiento concreto; no cambian por la sola denominación del contrato. Antes de activar monitores que traten datos personales, las partes deben formalizar el contrato de encargo disponible en plantilla del contrato de encargo. Las partes deben completarla y firmarla antes de activar el tratamiento. El cliente debe definir y documentar sus fines y base jurídica, cumplir sus deberes de información y atender los derechos de las personas afectadas.

3. Datos, fines y bases jurídicas

• Cuenta, acceso y equipo: nombre, correo electrónico, contraseña almacenada de forma protegida, sesiones, invitaciones, pertenencia y permisos de equipo. Se usan para crear y administrar la cuenta, autenticarte, prestar el servicio y atender solicitudes. Base jurídica: ejecución del contrato y, para prevenir accesos no autorizados, interés legítimo en proteger el servicio.
• Datos técnicos y de seguridad: la dirección IP y el agente de usuario asociados a las sesiones, registros técnicos necesarios para operar el servicio y metadatos de las claves API. Se usan para autenticar, investigar incidencias y proteger la plataforma. Base jurídica: ejecución del contrato e interés legítimo en mantener la seguridad. La dirección IP y el agente de usuario asociados a una sesión se conservan mientras la sesión esté vigente. El plazo previsto para los registros técnicos es de un máximo de 30 días, salvo los que sea necesario conservar más tiempo para investigar un incidente o cumplir una obligación legal. La eliminación automática aún debe configurarse y verificarse antes de aplicar y publicar este plazo.
• Configuración y contenido de monitores: consultas, fuentes, nombres y contexto del monitor, calendarios y reglas de análisis, junto con contenido coincidente de noticias, publicaciones públicas de X y mensajes de canales públicos y privados de Telegram que sigue el prestador. Se usan para recoger, mostrar y clasificar información según el plan y la configuración del cliente. Para contenido tratado por cuenta del cliente, la base jurídica la determina y documenta el cliente.
• Análisis automatizado: si la función está activada, el nombre, descripción, criterios y calendario del monitor, junto con el texto y metadatos de la noticia, publicación o mensaje, se envían a OpenAI para clasificar relevancia, tema y prioridad. Oteaya presenta el resultado como ayuda de lectura; no adopta decisiones automatizadas con efectos jurídicos o significativamente similares sobre personas. El cliente debe revisar el resultado antes de utilizarlo.
• Facturación: datos de contacto y facturación, plan contratado, estado de pago y datos de transacción. Stripe procesa el pago y los datos completos de tarjeta; Oteaya no almacena el número completo de tarjeta. Base jurídica: ejecución del contrato y cumplimiento de obligaciones fiscales y contables.
• Analítica de uso: páginas visitadas, procedencia (sitio de referencia y parámetros de campaña), acciones en la web y en la aplicación (por ejemplo, registrarse, crear un monitor o iniciar un pago), importe de los pagos completados, tiempos de carga, y país, región, ciudad, navegador, sistema operativo, tipo de dispositivo, idioma y tamaño de pantalla. Usamos Umami, alojado en nuestra propia infraestructura y sin cookies: las visitas se agrupan con un identificador calculado a partir de la dirección IP y el agente de usuario, que cambia cada mes, y la dirección IP no se guarda en la analítica. Si tienes cuenta, la analítica se vincula al identificador interno de tu cuenta y de tu organización, nunca a tu email. Las direcciones se registran sin más parámetros que los de campaña. Al iniciar un pago, la dirección IP y el agente de usuario se guardan con la sesión de pago en Stripe para asociar el pago completado a la visita. Base jurídica: interés legítimo en conocer cómo se usa el servicio y mejorarlo; puedes oponerte escribiendo a [email protected].
• Comunicaciones: email y contenido de las consultas o solicitudes que nos envíes para responderte, prestar soporte y gestionar la relación. Base jurídica: atender tu solicitud o ejecutar el contrato.
• Preferencias guardadas en tu dispositivo: identificadores de elementos marcados como vistos y preferencias de avisos de sonido o escritorio, guardados en el almacenamiento local del navegador para conservar esos ajustes.

Para crear una cuenta son necesarios los datos identificados como obligatorios en el formulario. Si no los facilitas, no podremos crearla o prestar las funciones que dependen de ellos. No solicitamos datos especialmente protegidos; el cliente no debe incluirlos en consultas ni contenido de sus monitores.

4. Proveedores y destinatarios

• Stripe: procesa pagos, datos de facturación y datos de contacto necesarios para gestionar la suscripción. Información de privacidad: stripe.com/privacy.
• OpenAI: recibe los datos del monitor y el contenido descrito en la sección 3 cuando el análisis automatizado está activado. Información de privacidad: openai.com/policies/privacy-policy.
• Correo transaccional: Resend, cuando está configurado, para enviar mensajes de verificación de cuenta, restablecimiento de contraseña e invitación. Se comparten la dirección del destinatario y el contenido necesario para entregar el mensaje, como el nombre de quien invita y el nombre de la organización en una invitación. La región de tratamiento depende de la configuración de la cuenta y de las condiciones vigentes de Resend; debe confirmarse antes de publicar. Información de privacidad de Resend: resend.com/legal/privacy-policy.
• Umami: herramienta de analítica de código abierto alojada por el prestador en el mismo servidor en España; los datos de analítica no se comparten con terceros.
• Alojamiento y base de datos: infraestructura propia gestionada por el prestador en España. La aplicación y su base de datos PostgreSQL se alojan en un servidor ubicado en España; no se utiliza un proveedor externo de alojamiento para este servidor.
• Copias de seguridad: el procedimiento documentado prevé copias diarias, conservadas durante 7 días en el servidor y hasta 30 días en un servicio remoto de almacenamiento. El proveedor, la región y las medidas de protección deben confirmarse en la configuración activa antes de publicar esta política.
• Cloudflare: cuando el visitante accede a través de su red, procesa la dirección IP como proxy y red de entrega, y proporciona el país aproximado que se usa para estimar impuestos. Cloudflare opera una red global; los servicios, lugares de tratamiento y garantías aplicables dependen de la configuración de la cuenta y de sus condiciones vigentes. Información de privacidad: cloudflare.com/privacypolicy.

También pueden recibir datos los miembros de la organización cliente según sus permisos, las plataformas de las que se obtienen publicaciones y mensajes (como X y Telegram), las fuentes de prensa y las autoridades cuando exista una obligación legal. No vendemos datos personales ni los usamos para publicidad conductual.

5. Transferencias internacionales

Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. En esos casos, la transferencia se realizará únicamente con el mecanismo que corresponda al proveedor y al destino, como una decisión de adecuación o las cláusulas contractuales tipo incorporadas en sus condiciones de tratamiento, junto con las medidas complementarias que procedan. La región y las garantías de cada cuenta de proveedor deben confirmarse antes de activar el servicio correspondiente; la información contractual aplicable puede solicitarse escribiendo a [email protected].

6. Conservación y eliminación

Conservamos los datos de cuenta mientras la cuenta esté activa y, después, durante el tiempo necesario para atender obligaciones legales, responsabilidades y reclamaciones. Puedes solicitar su supresión escribiendo a [email protected]; conservaremos los datos que debamos mantener por ley o para formular, ejercer o defender reclamaciones, debidamente bloqueados cuando corresponda.

El contenido asociado a monitores se conserva según el historial del plan: actualmente 30, 90 o 180 días, según el plan, y 30 días para el pase Incidente. El plazo se calcula desde la primera recogida de cada elemento, no desde la cancelación. Cuando la organización deja de tener un plan vigente, se aplica por defecto un máximo de 30 días desde esa primera recogida; por ello, elementos más antiguos pueden eliminarse antes. El contenido que no está asociado a un monitor se depura en plazos más breves: las noticias y publicaciones de X, en 2 días; los mensajes de Telegram, en 14 días. Los datos de cuenta se conservan mientras la cuenta siga activa y, tras solicitar su eliminación, solo durante los plazos legales o de reclamación aplicables. El plazo previsto de conservación de los registros técnicos es de un máximo de 30 días, salvo necesidad justificada; la eliminación automática aún debe configurarse y verificarse. Las copias se conservan 7 días en el servidor y hasta 30 días en el servicio remoto cuando la tarea documentada está activa. Los datos de facturación se conservan durante los plazos legales aplicables. Los datos de analítica de uso se eliminan automáticamente a los 25 meses.

7. Cookies y almacenamiento del navegador

La sesión autenticada utiliza cookies técnicas necesarias para iniciar y mantener la sesión. La aplicación también guarda localmente en el navegador las preferencias de avisos y los identificadores de elementos vistos para conservar el estado de la interfaz. La analítica de uso (Umami) no usa cookies ni guarda identificadores en el navegador. No usamos cookies de publicidad. Si se incorporan tecnologías no necesarias para prestar una función solicitada, se solicitará el consentimiento previo que corresponda.

8. Derechos y reclamaciones

Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad cuando procedan, escribiendo a [email protected]. Responderemos en el plazo legal, normalmente en un mes. Podemos pedir información razonable para verificar tu identidad. Si el tratamiento se basa en consentimiento, puedes retirarlo en cualquier momento, sin afectar a la licitud del tratamiento previo. También puedes reclamar ante la Agencia Española de Protección de Datos en www.aepd.es. Para datos que una organización cliente gestione como responsable, dirígete a esa organización; Oteaya la asistirá conforme al contrato de encargo y a la normativa aplicable.

9. Seguridad y cambios

Aplicamos medidas técnicas y organizativas razonables para proteger los datos, limitar el acceso y gestionar incidentes según los riesgos del servicio. Ningún sistema conectado a Internet puede garantizar seguridad absoluta. Publicaremos aquí las actualizaciones de esta política con su fecha de entrada en vigor. Si un cambio requiere una nueva base jurídica o información previa, la facilitaremos antes de iniciar ese tratamiento.

Elementos pendientes antes de publicar

• Completar y firmar con cada cliente la plantilla del contrato de encargo.
• Confirmar las regiones de tratamiento y garantías aplicables a Resend, Cloudflare, OpenAI, Stripe y el proveedor de almacenamiento remoto según las cuentas y contratos vigentes.
• Confirmar que la tarea de copias de seguridad está activa, identificar el proveedor y región del destino remoto, y documentar sus medidas de protección.
• Configurar la eliminación de registros técnicos en un máximo de 30 días.
• Confirmar la configuración desplegada de cookies y almacenamiento del navegador.