Política de privacidad

Esta política se aplica siempre que se recojan o usen datos personales a través de Atflow, en cualquiera de estas situaciones:

• visitar nuestra web y leer nuestros artículos;
• crear una cuenta, iniciar sesión y crear equipos, flujos, páginas de estado e integraciones;
• invitar a miembros del equipo y configurar alertas por correo y mensajes de texto;
• contratar un plan y recibir facturación;
• enviar informes a Atflow desde tus sistemas a través de nuestro endpoint de informes, SDK o API (parte B);
• usar la aplicación de escritorio o móvil, contactar con el soporte o recibir correos y mensajes de texto nuestros.

Afecta a estas personas:

• Visitantes que navegan por nuestra web.
• Clientes: las personas que crean una cuenta de Atflow y las organizaciones en cuyo nombre actúan.
• Miembros del equipo: personas que un cliente invita a un equipo, incluidas las invitadas que aún no se han unido.
• Personas cuyos datos aparecen en los informes: por ejemplo, los usuarios de las aplicaciones de nuestros clientes, si un cliente incluye sus datos en un informe. Para ellas actuamos como encargados del tratamiento en nombre del cliente (parte B), y también se aplica el aviso de privacidad propio del cliente.
• Nuestro propio personal y contratistas, que solo pueden acceder a datos personales para prestar, proteger y dar soporte al servicio, y que están sujetos a confidencialidad.

No cubre cómo nuestros clientes usan los datos en sus propios sistemas, ni los servicios que conectas a Atflow, como Jira, monday.com, GitHub, un proveedor de IA o tus propios endpoints de webhook (se aplican sus condiciones y políticas), ni la información anonimizada de forma que ya no identifique a nadie.

• Datos de la cuenta: tu dirección de correo y los datos de perfil que compartes al iniciar sesión. El inicio de sesión lo proporciona Alternative Auth, un servicio de autenticación que también operamos; su propia política de privacidad cubre el inicio de sesión en sí. Atflow no almacena tu contraseña.
• Datos del equipo: nombres y logotipos de equipos, direcciones de correo y roles de los miembros, e invitaciones (quién invitó a quién y cuándo).
• Preferencias de notificación: si quieres alertas por correo o mensaje de texto y para qué eventos, y tu número de teléfono móvil si activas los mensajes de texto.
• Contenido del espacio de trabajo: flujos, nodos, nombres y descripciones, ajustes de las páginas de estado y los ajustes de las integraciones que conectas: por ejemplo, un sitio de Jira, el correo de la cuenta y el proyecto, un tablero de monday.com, direcciones de webhook, un repositorio y ramas de GitHub, y los tokens de acceso y claves que introduces para ellos.
• Datos de facturación: tu plan, el estado de tu suscripción y los identificadores de cliente y de suscripción que recibimos de Stripe. Los datos de la tarjeta se introducen en las páginas de Stripe y los procesa Stripe; nunca recibimos números de tarjeta completos.
• Datos de uso y seguridad: dirección IP, información del navegador y del dispositivo, hora y dirección de las peticiones a nuestros servidores, y las acciones que realizas en el panel.
• Comunicaciones: los mensajes que envías por el chat de soporte, con tu nombre y correo, y los correos que nos envías. Si está activado, las preguntas que haces al asistente de IA y sus respuestas.
• Aplicación de escritorio: abre el mismo panel en una ventana. Te mantiene con la sesión iniciada en tu dispositivo y comprueba periódicamente cuántas notificaciones no leídas tienes. No recoge nada más allá de lo que recoge el panel.
• Visitas a la web: nuestra web no usa cookies de analítica ni publicitarias. Nuestro proveedor de alojamiento procesa tu dirección IP y los datos de la petición para servir las páginas y proteger el sitio, y nuestras páginas cargan tipografías de Google Fonts, lo que significa que tu navegador envía tu dirección IP a Google.

• Para prestar el servicio que contrataste: gestionar tus equipos y flujos, mostrar tus informes, enviar las alertas por correo y mensaje de texto que elegiste y conectar las integraciones que actives — ejecución de nuestro contrato (art. 6.1.b RGPD).
• Para facturarte y gestionar tu suscripción — ejecución de nuestro contrato.
• Para mantener el servicio seguro: autenticar peticiones, detectar fraude y abusos, aplicar los límites del plan y de tasa, e investigar incidentes — nuestro interés legítimo en un servicio seguro (art. 6.1.f).
• Para enviar correos de servicio, facturación y seguridad, como invitaciones y cambios en tu equipo — contrato e interés legítimo. Solo enviamos correos comerciales con tu consentimiento, y cada uno permite darse de baja.
• Para responder a las solicitudes de soporte y, si está activado, a las preguntas del asistente de IA — contrato e interés legítimo.
• Para mejorar el servicio: observamos cómo se usan las funciones, así como los errores y el rendimiento, con datos de uso a nivel de cuenta y agregados — nuestro interés legítimo en mejorar el producto. No usamos el contenido de tus informes para ello, y puedes oponerte en cualquier momento.
• Para llevar registros contables y cumplir obligaciones fiscales y legales — obligación legal (art. 6.1.c).

No vendemos datos personales, y no usamos tus datos ni los de tus informes para entrenar modelos de IA.

Usamos los siguientes proveedores de servicios. Tratan los datos únicamente siguiendo nuestras instrucciones y con contratos de encargo de tratamiento. La misma lista se aplica a los datos de los informes de la parte B.

• Amazon Web Services (AWS) — envío de correos (SES) y mensajes de texto (SNS), almacenamiento de logotipos de equipo (S3), y las colas y funciones que reciben los informes y ejecutan trabajos en segundo plano. Nuestros recursos de ingesta de informes y colas de trabajos funcionan en la UE (Fráncfort, Alemania).
• Nuestro proveedor de base de datos — la base de datos de Atflow, que contiene los datos de tu cuenta, equipo, espacio de trabajo e informes: a PostgreSQL server we operate on Amazon Web Services in Frankfurt, Germany (EU).
• Vercel — alojamiento de la web, el panel y la API. Las peticiones al panel y a la API se procesan en servidores de Vercel en Estados Unidos; tus datos se almacenan en la UE, como se describe arriba.
• Stripe — pagos, facturación e impuestos.
• Google — tipografías web (Google Fonts) que usan nuestras páginas.
• Groq — genera las respuestas del asistente de IA y, si lo activas, los resúmenes de los correos de análisis con IA. Enviamos solo tu pregunta y los mensajes anteriores de esa conversación, o un resumen de los informes de tu propio equipo (títulos, tipos, estados, recuentos y mensajes acortados sin secretos) — nunca los datos de tu cuenta, metadatos ni estados de componentes.

El inicio de sesión (Alternative Auth) y el chat de soporte, que se responde desde nuestro sistema de soporte interno (WNC Base), los operamos nosotros, no un tercero.

Las integraciones que activas son diferentes: Jira (Atlassian), monday.com, GitHub, el proveedor de IA que elijas para AI hotfix (Anthropic u OpenAI, con tu propia clave API) y tus propios endpoints de webhook reciben datos de los informes porque les has indicado que los envíen allí. Actúan según sus propias condiciones contigo, no como nuestros subencargados.

También podemos revelar datos cuando lo exija la ley o una autoridad competente, para proteger nuestros derechos o la seguridad de otros, o a un sucesor en una fusión o adquisición, que quedará sujeto a esta política.

Algunos de los proveedores anteriores están en Estados Unidos o tratan allí datos limitados (por ejemplo, pagos, alojamiento del panel, tipografías o peticiones de IA). Cuando ocurre, nos basamos en el Marco de Privacidad de Datos UE-EE. UU. si el proveedor está certificado, o en las Cláusulas Contractuales Tipo de la Comisión Europea.

• Datos de cuenta, equipo y espacio de trabajo: mientras exista tu cuenta. Tras eliminarla, en un plazo de 30 días, salvo lo indicado abajo.
• Tu número de teléfono: hasta que lo elimines o borres tu cuenta.
• Facturas y registros contables: 7 años, según exige la legislación contable estonia.
• Registros de seguridad y del servidor: hasta 90 días.
• Conversaciones de soporte: mientras sean necesarias para ayudarte y hasta 2 años después.
• Copias de seguridad: se sobrescriben en su ciclo habitual, como máximo 35 días.

Con arreglo al RGPD puedes pedir acceder, corregir, eliminar o exportar tus datos, restringir u oponerte al tratamiento basado en intereses legítimos, y retirar el consentimiento en cualquier momento. Puedes cambiar tus preferencias de notificación y eliminar tu número de teléfono tú mismo en el panel. Para cualquier otra cosa, escribe a legal@we-nocode.com; respondemos en el plazo de un mes. También puedes presentar una reclamación ante the Estonian Data Protection Inspectorate (Andmekaitse Inspektsioon, www.aki.ee) o ante la autoridad de tu país.

Solo usamos lo que el servicio necesita para funcionar: cookies y almacenamiento del navegador que te mantienen con la sesión iniciada en el panel y recuerdan tus ajustes, como el tema. Nuestra web no establece cookies propias. No usamos cookies publicitarias ni de seguimiento entre sitios.

Cuando tus sistemas envían informes a Atflow, tú decides qué contiene cada informe y por qué, y eres el responsable del tratamiento. Tratamos esos datos en tu nombre, con arreglo a las Condiciones de Tratamiento de Datos de la sección 9 de nuestros Términos de Servicio.

Un informe consta de los campos que completa tu código: su tipo y estado, un identificador, un mensaje, los metadatos que adjuntes y el estado de los componentes de un flujo. Nosotros añadimos la hora de llegada y contamos cuántas veces se produce. No añadimos nada sobre tus usuarios que tú no hayas enviado.

Los datos de los informes se usan solo para prestarte el servicio:

• se almacenan y se muestran a los miembros de tu equipo;
• un breve extracto del mensaje de error se incluye en los correos y mensajes de texto de alerta que tus miembros del equipo han decidido recibir;
• se envían a las integraciones que actives — por ejemplo, para crear una incidencia de Jira o un elemento de monday.com, para llamar a tus webhooks o, con AI hotfix, al proveedor de IA y al repositorio de GitHub que hayas configurado.

Envía solo lo necesario para resolver el problema. Los informes no deben contener categorías especiales de datos personales (como datos de salud, biométricos o religiosos), datos sobre condenas penales, contraseñas, tokens de acceso, claves API, números de tarjeta o números de documentos de identidad. Si necesitas identificar a un usuario, usa un ID interno en lugar de un nombre o correo.

Conservamos los informes durante el periodo de historial de tu plan — 30 días en Hobby, 90 en Starter, 180 en Pro, o lo acordado en Enterprise — o hasta que los elimines, elimines su flujo o tu cuenta, lo que ocurra primero. Los informes fuera de ese periodo y los informes eliminados se borran de nuestros sistemas en un plazo de 30 días, y de las copias de seguridad según su ciclo habitual.

Si eres usuario de una de las aplicaciones de nuestros clientes y tienes alguna pregunta sobre tus datos, contacta primero con ese cliente; si nos contactas a nosotros, trasladaremos tu solicitud a él.

Protegemos los datos con cifrado en tránsito (TLS), acceso limitado a los miembros de cada equipo, una clave secreta distinta para el endpoint de informes de cada flujo, cifrado (AES-256) del token de GitHub y de la clave del proveedor de IA que guardas para AI hotfix, y registros de auditoría. Nuestro personal de soporte puede acceder a tu espacio de trabajo, incluso viéndolo como lo vería un miembro del equipo, solo para prestar el soporte que pediste o para investigar abusos o un problema de seguridad. Ningún sistema es perfectamente seguro; si una brecha afecta a tus datos, te lo notificaremos y, cuando sea obligatorio, a la autoridad de control, tal como exige la ley.

Atflow está dirigido a adultos que actúan en nombre de una empresa. No va dirigido a menores, y los clientes no deben enviarnos deliberadamente datos sobre menores en los informes.

Publicaremos los cambios aquí y actualizaremos la fecha de arriba. En el caso de cambios sustanciales, también avisaremos a los clientes por correo o en el panel antes de que entren en vigor.

WeNoCode OÜ — legal@we-nocode.com