Política de privacidad

1. Quiénes somos

FlowX («nosotros») ofrece una plataforma de gestión de operaciones para equipos. Esta política explica qué datos personales recogemos cuando usas nuestro sitio web y nuestro producto, por qué los recogemos y qué derechos tienes sobre ellos. Para cuestiones de privacidad, contacta con support@flowx.ninja.

Se aplican dos funciones. Para el contenido dentro de un espacio de trabajo, la organización cliente decide qué se almacena y por qué — es la responsable del tratamiento, y nosotros tratamos ese contenido siguiendo sus instrucciones. Para los datos de cuenta, sitio web, facturación y seguridad, nosotros determinamos las finalidades y actuamos como responsables. Si eres miembro del espacio de trabajo de otra organización, dirige primero a su administrador las solicitudes sobre el contenido del espacio.

2. Datos que recogemos

• Datos de cuenta — nombre, correo profesional, contraseña (guardada solo como hash con sal) y nombre del espacio de trabajo.
• Contenido del espacio de trabajo — tareas, solicitudes, proyectos, comentarios, documentos y otros registros que crea tu equipo. Tu organización controla este contenido.
• Datos de uso — horas de inicio de sesión, direcciones IP y acciones registradas en el registro de auditoría de tu espacio de trabajo (una función central del producto).
• Datos del dispositivo — tokens de notificaciones push de los navegadores y dispositivos móviles en los que activas las notificaciones, y los ajustes de notificación de cada dispositivo que los acompañan.
• Comunicaciones — los correos que te enviamos (códigos de verificación, invitaciones, notificaciones) y los mensajes que nos envías.
• Datos de facturación — el contacto de facturación, los datos de la empresa y su dirección, el número de registro fiscal, el plan, los contadores de puestos y de uso, y las facturas que se generan a partir de ellos.
• Diagnósticos — informes de fallos y trazas de rendimiento de las apps móviles (modelo del dispositivo, sistema operativo, versión de la app y la pila técnica del error), y la analítica sujeta a consentimiento descrita en la sección 9.

No recogemos datos de tarjetas de pago: los pagos los procesa Stripe, que gestiona los datos de tarjeta bajo su propio cumplimiento PCI-DSS.

3. Por qué los tratamos

• Para prestar el servicio: autenticación, notificaciones, registros de auditoría y funcionamiento del espacio de trabajo.
• Para proteger el servicio: prevención de abusos, protección frente al bloqueo de cuentas y registro de seguridad.
• Para comunicarnos: códigos de verificación, invitaciones a espacios de trabajo y avisos del servicio.
• Para facturar: calcular puestos, almacenamiento y uso, emitir facturas, cobrar y cumplir con las obligaciones fiscales y de facturación electrónica.
• Para mejorar el servicio: medición agregada del uso y diagnósticos de fallos y solicitudes lentas.
• Para cumplir las obligaciones legales que nos son aplicables.

No vendemos datos personales, y no usamos el contenido de tu espacio de trabajo para publicidad.

4. Bases jurídicas (RGPD) y alineación con la PDPL

Cuando se aplica el RGPD de la UE, nos basamos en la ejecución del contrato (prestar el servicio que has contratado), el interés legítimo (seguridad y mejora del servicio) y el consentimiento cuando es necesario. Cuando se aplica la Ley de Protección de Datos Personales de Arabia Saudí (PDPL), tratamos los datos personales con tu conocimiento para los fines aquí descritos y respetamos los derechos que te otorga.

5. Dónde residen tus datos

• Los datos de los espacios de trabajo se alojan en Amazon Web Services en la región UE (Fráncfort), salvo que tu pedido indique otra región.
• Los datos de cada espacio de trabajo están aislados de los de otros clientes a nivel de base de datos (seguridad a nivel de fila), aplicada en cada consulta y no solo por el código de la aplicación.
• Los datos se cifran en tránsito (TLS). Los archivos y adjuntos se cifran en reposo en el almacenamiento de objetos con claves gestionadas por AWS, o con una clave KMS gestionada por el cliente cuando está configurada.
• El acceso a los datos de producción está limitado a los operadores que lo necesitan, se autentica de forma separada de las cuentas de cliente y queda registrado en un registro de auditoría de operadores.
• Las copias de seguridad se realizan con una rotación programada y están protegidas con el mismo estándar que el sistema en producción.

6. Comunicación de datos

Solo compartimos datos personales con los encargados necesarios para operar el servicio:

• Proveedores de alojamiento en la nube (infraestructura)
• Microsoft (entrega de correo transaccional)
• Google (Firebase) — notificaciones push en Android y web, informes de fallos en móvil, informes de rendimiento en móvil y web, analítica sujeta a consentimiento e inicio de sesión con Google donde tu espacio de trabajo lo use.
• Apple — entrega de notificaciones push a dispositivos iOS.
• Proveedores de pago — según tu país de facturación, o nuestra pasarela de pago (con FlowX como vendedor) o un comerciante registrado que es el vendedor de esa transacción y procesa el pago con su propia política de privacidad.

Cuando tu espacio de trabajo conecta el inicio de sesión único o un buzón para la recepción de correo, los datos también circulan hacia y desde el proveedor que elegiste, según tu propio acuerdo con él.

Podemos revelar datos cuando lo exija legalmente una autoridad competente.

7. Conservación

• Las notas de voz pueden transcribirse a texto automáticamente. El servicio de transcripción se ejecuta en nuestra propia infraestructura — el audio no se envía a ningún proveedor de IA externo, y nada de lo que sale de él se usa para entrenar modelos.
• El producto hace avanzar el trabajo automáticamente: cambios de estado, enrutamiento de aprobaciones, temporizadores de SLA, escalados y recordatorios. Todo ello sigue las reglas que configura tu espacio de trabajo, no la elaboración de perfiles de personas.
• No tomamos decisiones automatizadas sobre ti que produzcan efectos jurídicos o efectos similarmente significativos.

8. Tus derechos

• Los datos del espacio de trabajo se conservan mientras el espacio está activo. El historial de auditoría se guarda durante la ventana que ofrece tu plan (de 30 a 365 días).
• Si se cierra un espacio de trabajo, los datos se conservan para que el cierre pueda revertirse; no se eliminan automáticamente. Un administrador puede pedirnos borrarlos, y lo hacemos cuando lo solicita. Las copias de seguridad caducan por su propia rotación.
• Las facturas y los registros de facturación que las sustentan se conservan durante el tiempo que exigen las leyes fiscales y contables, incluso después de cerrarse un espacio de trabajo.
• Puedes exportar los datos de tu espacio de trabajo en cualquier momento desde Ajustes → Sistema.

9. Cookies

• Estrictamente necesarias: una cookie de sesión de autenticación (httpOnly, SameSite=Lax, enviada solo por HTTPS en producción) y tus preferencias de interfaz (tema, idioma), almacenadas en tu navegador.
• Analítica: usamos Google Analytics para contar visitas y ver qué páginas y pantallas se usan. Nada se carga ni se escribe ninguna cookie analítica hasta que aceptas el aviso, el rechazo se recuerda y la analítica está totalmente desactivada fuera de producción.
• Dentro del producto y de las apps móviles las reglas son más estrictas: nunca enviamos tu nombre, correo, identificador de usuario ni identificadores del espacio de trabajo; los identificadores de registros en las URL se sustituyen por un marcador antes de enviar nada; y las cadenas de consulta — que pueden contener términos de búsqueda — se descartan por completo.
• Los informes de fallos están activos en las versiones publicadas de las aplicaciones móviles, y los informes de rendimiento en las aplicaciones móviles y en la web, para que podamos corregir defectos y páginas lentas. Ambos incluyen diagnósticos técnicos, nunca el contenido de tu espacio de trabajo.
• No usamos cookies publicitarias ni de seguimiento entre sitios en ningún lugar.

10. Cambios

Publicaremos cualquier cambio de esta política en esta página y actualizaremos la fecha de arriba. Los cambios sustanciales se anunciarán por correo a los administradores de los espacios de trabajo.

11. Transferencias internacionales

Los datos de los espacios de trabajo se alojan en la UE, y algunos de nuestros encargados del tratamiento — en particular los proveedores de notificaciones push y de analítica — operan fuera de ella. Cuando se transfieren datos personales a otro país, nos basamos en las garantías que prevé la ley aplicable, incluidas las cláusulas contractuales tipo y las condiciones de transferencia de la PDPL saudí. Los detalles para tu contrato están disponibles a petición.

12. Tus derechos

Con sujeción a la ley aplicable (PDPL / RGPD), puedes solicitar el acceso, la rectificación, la supresión o una copia de tus datos personales, y puedes oponerte a determinados tratamientos o solicitar su limitación. Los miembros de un espacio de trabajo deben dirigir sus solicitudes primero a su administrador, ya que la organización cliente controla el contenido del espacio; cuando actuamos como encargados, ayudamos a esa organización a responderte. También puedes contactarnos directamente, y respondemos en el plazo que permite la ley aplicable. Si no quedas satisfecho, puedes reclamar ante tu autoridad de control — en Arabia Saudí, la SDAIA.

13. Menores

FlowX es una herramienta profesional que se vende a organizaciones. No está dirigida a menores y no recogemos a sabiendas datos personales de personas menores de 18 años. Si crees que nos han llegado datos de un menor, contáctanos y los eliminaremos.

14. Cambios

Publicaremos cualquier cambio de esta política en esta página y actualizaremos la fecha de arriba. Los cambios sustanciales se anunciarán por correo a los administradores de los espacios de trabajo antes de que entren en vigor.

15. Contacto

Preguntas sobre privacidad, o una solicitud sobre tus datos: support@flowx.ninja. Las condiciones que rigen el uso del servicio están en los Términos del servicio.