Borrador pendiente de revisión por abogado. Este texto aún no es definitivo. Los huecos marcados se completan antes de abrir la beta.
Textos legalesPolítica de privacidad
Aquí explicamos qué datos tratamos, para qué, con qué base legal, durante cuánto tiempo y qué derechos tienes. Lo escribimos para que se entienda sin ser abogado.
1. Responsable
Alex Aguirre (THEOVERCODE), NIF [COMPLETAR: NIF], domicilio [COMPLETAR: domicilio a efectos de notificaciones], Madrid (España). Email para cualquier cuestión de privacidad: [COMPLETAR: buzón confirmado, p. ej. privacidad@theovercode.ai]. No hay delegado de protección de datos designado [COMPLETAR: confirmar con el abogado que no es obligatorio].
Hay dos papeles distintos. De tus propios datos (tu cuenta, tu acceso, tu facturación, la lista de espera) somos responsables. De los datos de otras personas que subes o conectas (tus clientes y leads, tu audiencia, cuentas que analizas) el responsable eres tú y nosotros los tratamos por tu cuenta, según el contrato de encargado de tratamiento.
2. Qué datos tratamos y de dónde salen
- Cuenta: email y, si entras con Google, tu nombre y foto de perfil. Nos los das tú o Google.
- Tu espacio: lo que escribes o subes: ventas, metas, guiones, ADN de marca, material del negocio, conversaciones con el asistente.
- Instagram: lo que autorizas a Meta a darnos: perfil, publicaciones, métricas, historias, datos agregados de la audiencia y comentarios cuando los pides.
- Cuentas públicas que analizas (Espía, Referencias, avatar): datos públicos de esas cuentas y sus publicaciones.
- Móvil: solo si pides el regalo de bienvenida. Guardamos una huella cifrada, no el número.
- Datos técnicos: registros de acceso y de errores, una huella de la IP para los límites de ritmo y la actividad en la app.
- Lista de espera: email, tu usuario de Instagram, seguidores aproximados, facturación mensual por tramos, tamaño del equipo y tu oferta.
3. Para qué y con qué base legal
| Finalidad | Base legal | Datos |
|---|---|---|
| Darte el servicio: tu cuenta, tu espacio, tus métricas y las herramientas | Ejecución del contrato (art. 6.1.b RGPD) | Datos de cuenta, del espacio y de Instagram |
| Conectar y leer tu cuenta de Instagram | Ejecución del contrato, a petición tuya | Lo que autorizas a Meta a darnos |
| Procesar con IA lo que pides (análisis, guiones, ADN, asistente) | Ejecución del contrato | El contenido que mandas y el contexto necesario de tu espacio |
| Verificar tu móvil para el regalo de bienvenida y evitar que se repita | Interés legítimo en prevenir el abuso del regalo (art. 6.1.f) | Número de móvil (guardamos solo una huella cifrada) |
| Seguridad, prevención de fraude y abuso, registros técnicos | Interés legítimo (art. 6.1.f y considerando 49) | Datos técnicos, huella de la IP, actividad |
| Lista de espera: ordenar las invitaciones y escribirte cuando te toque | Medidas precontractuales a petición tuya (art. 6.1.b) | Email, @ de Instagram, seguidores, facturación por tramos, equipo y oferta |
| Analítica de uso para mejorar el producto (solo si está activa) | Interés legítimo; sin cookies, sin IP y sin grabar sesiones | Eventos de uso |
| Facturación y obligaciones fiscales (cuando haya cobro) | Obligación legal (art. 6.1.c) | Datos de facturación |
| Guardar tu aceptación de estas condiciones | Obligación de poder demostrarla (art. 7.1) e interés legítimo | Usuario, versión y fecha |
Cuando la base es el interés legítimo, puedes oponerte escribiéndonos. Lo valoraremos y dejaremos de tratar los datos salvo que haya motivos legítimos imperiosos o haga falta para defender una reclamación.
4. Decisiones automatizadas
En la lista de espera calculamos una puntuación con reglas fijas (seguidores, facturación, oferta y equipo) que solo sirve para ordenar las invitaciones. Nadie queda excluido por ella y la decisión de invitar la toma una persona. No tomamos decisiones automatizadas con efectos jurídicos ni que te afecten de forma significativa (art. 22 RGPD). La IA del producto propone; no decide nada por ti.
5. Cuánto tiempo guardamos cada dato
| Dato | Plazo |
|---|---|
| Cuenta y datos de tu espacio | Mientras tengas cuenta. Al cerrarla, se borran en un máximo de 30 días; las copias de seguridad caducan en otros 30 como mucho. |
| Token de acceso a Instagram | Mientras esté conectado. Se borra al desconectar o al cerrar la cuenta. |
| Datos leídos de Instagram | Mientras tengas cuenta, para que el panel compare en el tiempo. Se borran con la cuenta o antes si lo pides. |
| Lista de espera | Hasta 12 meses desde que te apuntas, o hasta que pidas la baja. Si entras en la beta, pasa a formar parte de tu cuenta. |
| Invitaciones | 12 meses desde que se emiten. |
| Registros técnicos y de errores | 90 días. |
| Registros de seguridad y de operación (auditoría) | Hasta 2 años. |
| Aceptación de los textos legales | Mientras exista la cuenta y, después, el plazo de prescripción de las acciones (5 años). |
| Facturación | 6 años (Código de Comercio, art. 30) y 4 a efectos fiscales (Ley General Tributaria, art. 66). |
| Contadores de límites de ritmo | Horas o días: solo lo que dura la ventana del límite. |
[COMPLETAR: confirmar los plazos con el abogado y programar el borrado automático de la lista de espera a los 12 meses y de los registros a los 90 días]
6. Con quién compartimos datos
No vendemos datos ni los cedemos para publicidad. Los tratan, por nuestra cuenta y con contrato, los proveedores de la lista de subencargados: alojamiento, base de datos, IA, verificación del móvil y, si están activos, registro de errores y analítica. Solo daremos datos a autoridades cuando una ley nos obligue.
Meta no es un proveedor nuestro: es la fuente de los datos de Instagram que tú conectas y los trata como responsable independiente, con sus propias condiciones.
7. Transferencias fuera del Espacio Económico Europeo
La base de datos y los servidores están en la Unión Europea. Algunos proveedores (por ejemplo, el de IA de texto) están en Estados Unidos. Esas transferencias se hacen con empresas adheridas al Marco de Privacidad de Datos UE-EE. UU. o con las cláusulas contractuales tipo de la Comisión Europea. El detalle de cada uno está en la lista de subencargados. [COMPLETAR: verificar el mecanismo vigente de cada proveedor]
8. Tus derechos
Puedes pedir el acceso a tus datos, su rectificación o supresión, la limitación del tratamiento, la portabilidad y oponerte al tratamiento. Si algo se basa en tu consentimiento, puedes retirarlo cuando quieras. Escríbenos a [COMPLETAR: buzón confirmado, p. ej. privacidad@theovercode.ai] desde el email de tu cuenta, diciendo qué derecho ejerces. Respondemos en un mes como máximo.
Si crees que no hemos atendido bien tu petición, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es).
9. Seguridad
Acceso por código de un solo uso, sin contraseñas. El token de Instagram va cifrado (AES-256-GCM) y nunca llega al navegador. Cada espacio está aislado en la base de datos con reglas a nivel de fila. Conexiones cifradas, límites de ritmo, cabeceras de seguridad y registros de auditoría de cada acción del equipo de operación. Si hubiera una brecha que te afecte, te avisaremos y a la autoridad cuando lo exija la ley.
10. Menores
El servicio no está dirigido a menores de 18 años y no tratamos sus datos a sabiendas.
11. Cookies
Solo usamos cookies técnicas, necesarias para que el servicio funcione. Por eso no hace falta tu consentimiento (art. 22.2 LSSI-CE):
sb-…: tu sesión iniciada (Supabase). HttpOnly.ws: el espacio que tienes abierto.meta_oauth_nonce: protege la conexión con Instagram durante unos minutos.login_next: a qué página volver después de entrar con Google (10 minutos).
La analítica, si está activa, funciona sin cookies y sin guardar tu IP. No usamos cookies de publicidad.
12. Cambios
Si cambiamos esta política de forma relevante, te avisaremos con antelación por email o en la app. Cada versión lleva su fecha arriba.