Política de Privacidad de OperPilot

1. Responsable del tratamiento

El responsable del tratamiento es Warsaw Trade Spółka z Ograniczoną Odpowiedzialnością, ul. Eugeniusza Kwiatkowskiego 6/12, 03-984 Varsovia, Polonia, KRS 0000583526, NIF (NIP) 1132897602, REGON 362907969 (el «Responsable» u «OperPilot»).

Para cuestiones de protección de datos, contacte con: kontakt@operpilot.com. No hemos designado un delegado de protección de datos.

2. Ámbito de aplicación

Esta Política se aplica a los usuarios de la aplicación OperPilot (app.operpilot.com) y a las personas que inviten a sus espacios de trabajo, a los visitantes de operpilot.com, a quienes utilicen el formulario de contacto y a los socios del programa de afiliados.

OperPilot no está destinado a menores de 18 años.

3. Datos que tratamos

• Datos de la cuenta – correo electrónico, hash de la contraseña (bcrypt; nunca conocemos la contraseña), idioma, ajustes y fechas de aceptación de los Términos y de la Política de Privacidad.
• Inicio de sesión con Google – ID de la cuenta de Google y correo electrónico verificado.
• Marcas y espacios de trabajo – nombre de la marca, sector, descripción, tono, sitio web, logotipo, pautas editoriales y miembros del equipo.
• Contenido – borradores y publicaciones, textos e imágenes generados por IA, imágenes y vídeos subidos y el calendario de publicación.
• Cuentas y canales conectados – ID y nombres de perfiles, páginas y canales conectados, y tokens de acceso OAuth almacenados cifrados.
• Estadísticas – resultados de las publicaciones (p. ej., visualizaciones, reacciones) obtenidos de las plataformas que los ofrecen.
• Facturación – plan e historial de suscripción, ID de cliente de Stripe y datos de facturación (nombre, NIF, dirección, correo). Solo Stripe trata los números completos de tarjeta.
• Programa de afiliados – código de referido, comisiones y datos de pago (beneficiario, IBAN, SWIFT y, opcionalmente, empresa y NIF). Los clics en enlaces de referido se guardan solo como hash de la IP y del navegador.
• Formulario de contacto – correo electrónico, opcionalmente nombre, asunto, mensaje y dirección IP.
• Datos técnicos y de seguridad – dirección IP, ID de sesión, tipo de navegador, marcas de tiempo y registros del servidor.
• Protección contra bots (Cloudflare Turnstile) – en el registro y en el formulario de contacto, Cloudflare comprueba la IP y señales técnicas del navegador para distinguir personas de bots.
• Analítica web (Google Analytics 4) – solo tras el consentimiento en el banner de cookies; véase la Política de Cookies (/polityka-cookies).

4. Origen de los datos

Los datos proceden de usted (registro, ajustes, contenido, formularios), de las plataformas que conecte tras dar su consentimiento mediante OAuth (p. ej., Google, Meta, TikTok, LinkedIn, Pinterest), de Stripe (estado de pagos y suscripción) y, automáticamente, de su navegador y nuestro servidor (datos técnicos).

5. Finalidades y bases jurídicas (RGPD)

• Ejecución del contrato (art. 6.1.b RGPD) – cuenta, espacios de trabajo, generación de contenido, programación y publicación, estadísticas, gestión de la suscripción y correos de la cuenta (p. ej., bienvenida, restablecimiento de contraseña, aviso de fin de prueba).
• Obligación legal (art. 6.1.c RGPD) – facturas y documentación contable y fiscal.
• Interés legítimo (art. 6.1.f RGPD) – seguridad, protección contra bots y abusos, límites de intentos, copias de seguridad, respuestas al formulario de contacto, gestión del programa de afiliados y formulación o defensa de reclamaciones.
• Consentimiento (art. 6.1.a RGPD) – Google Analytics. Puede retirarlo en cualquier momento, sin que ello afecte a la licitud del tratamiento anterior.

Carácter voluntario: facilitar los datos de la cuenta es voluntario, pero sin ellos no es posible usar la aplicación.

6. Integraciones con Google (Google API Disclosure)

OperPilot utiliza Google OAuth 2.0 para el inicio de sesión, la gestión de publicaciones en el Perfil de Empresa de Google y la publicación de vídeos en YouTube.

El uso y la transferencia de información recibida de las API de Google cumplen la Google API Services User Data Policy, incluidos los requisitos de Uso Limitado. Los datos de las API de Google no se utilizan para entrenar modelos de IA ni con fines publicitarios.

La integración con YouTube utiliza los YouTube API Services. Al conectar un canal, usted acepta las Condiciones del Servicio de YouTube (https://www.youtube.com/t/terms), y los datos tratados por Google están sujetos a la Política de Privacidad de Google (https://policies.google.com/privacy).

De YouTube almacenamos: el ID y el nombre del canal, un token de acceso cifrado, los ID de los vídeos publicados a través de OperPilot y sus contadores (visualizaciones, «me gusta», comentarios). Los usamos únicamente para publicar vídeos a petición suya y mostrar estadísticas en su cuenta. Como máximo cada 30 días comprobamos que el acceso al canal sigue activo y actualizamos el nombre del canal.

Puede revocar el acceso en cualquier momento desconectando el canal en Integraciones o en la página de permisos de su cuenta de Google (https://myaccount.google.com/permissions). Cuando desconecta un canal en OperPilot, revocamos el acceso en Google y eliminamos el token y las estadísticas de los vídeos sin demora, a más tardar en 7 días. Si en la misma cuenta de OperPilot hay otro servicio de Google conectado (p. ej., un segundo canal o el Perfil de Empresa de Google), no revocamos el consentimiento común de Google para no interrumpirlo, pero eliminamos igualmente el token y los datos del canal desconectado. Tras revocar el acceso en la configuración de Google, eliminamos estos datos a más tardar en 30 días. En la Biblioteca solo permanecen la publicación y el registro de su publicación. Preguntas sobre estos datos: kontakt@operpilot.com.

7. Inteligencia artificial (OpenAI)

Generamos textos, ideas, traducciones e imágenes a petición suya mediante la API de OpenAI. OpenAI recibe la instrucción y los datos de la marca necesarios para generar el contenido.

Según las políticas de OpenAI, los datos enviados por la API no se utilizan por defecto para entrenar modelos. Al generar publicaciones e ideas pedimos a OpenAI que no almacene las respuestas.

Le rogamos que no incluya en las instrucciones datos especialmente sensibles ni datos de terceros si no es necesario.

8. Destinatarios de los datos

Solo comunicamos datos a empresas que nos ayudan a prestar el servicio (encargados del tratamiento) y a las plataformas que usted elija:

• Webh (webh.pl) – servidor, base de datos y archivos (Polonia).
• Hostido (hostido.pl) – buzón kontakt@operpilot.com: mensajes del formulario de contacto y correspondencia (Polonia).
• Cloudflare, Inc. – protección de formularios contra bots (Turnstile) y almacenamiento de copias de seguridad (R2, región UE).
• Resend, Inc. – envío de correos: cuenta, recordatorios y notificaciones (EE. UU.).
• OpenAI (OpenAI Ireland Ltd y OpenAI, L.L.C.) – generación de contenido e imágenes con IA (Irlanda / EE. UU.).
• Stripe – pagos y suscripciones (UE / EE. UU.).
• Fakturownia Sp. z o.o. – emisión de facturas y su envío al sistema polaco de facturación electrónica KSeF (Polonia).
• Google – inicio de sesión con Google y Google Analytics tras el consentimiento (UE / EE. UU.).
• Plataformas y servicios que usted conecte – Meta (Facebook, Instagram, Threads), TikTok, LinkedIn, Pinterest, YouTube, Perfil de Empresa de Google, Bluesky, Telegram, Discord, Slack, WordPress y webhooks propios (p. ej., Zapier): publicación y obtención de estadísticas por indicación suya, según las normas de cada plataforma.

Otros destinatarios: podemos comunicar datos a autoridades públicas cuando la ley lo exija. No vendemos datos.

9. Transferencias fuera del EEE

Algunos destinatarios tratan datos en EE. UU. Las copias de seguridad se almacenan en la región de la UE. Garantías de las transferencias:

• Resend, Cloudflare, Stripe y Google – participan en el EU-U.S. Data Privacy Framework, amparado por una decisión de adecuación de la Comisión Europea.
• OpenAI – OpenAI Ireland Ltd contrata con los clientes del EEE y las transferencias a EE. UU. se basan en las cláusulas contractuales tipo (SCC) aprobadas por la Comisión Europea.

Garantías: puede solicitar información sobre las garantías y una copia de ellas en kontakt@operpilot.com.

10. Plazos de conservación

• Cuenta y contenido – mientras se use la cuenta. Tras su eliminación, los datos se suprimen o anonimizan, salvo los necesarios para la facturación.
• Facturas y documentación contable – 5 años desde el final del ejercicio fiscal.
• Copias de seguridad – 14 días en el servidor y hasta 30 días en Cloudflare R2; después se eliminan automáticamente.
• Sesiones y restablecimiento de contraseña – una sesión es válida hasta 14 días y las caducadas se eliminan automáticamente al cabo de un día. El enlace de restablecimiento es válido 30 minutos y se elimina a los 7 días.
• Mensajes del formulario de contacto – en el buzón kontakt@operpilot.com durante el tiempo necesario para atender el asunto y posibles reclamaciones.
• Registros del servidor – durante poco tiempo, con sobrescritura automática (rotación).
• Google Analytics – datos detallados de eventos durante 2 meses y datos de usuario hasta 14 meses desde la última actividad. Los informes agregados no identifican a personas.

11. Seguridad

Los tokens de acceso y las claves de integración se cifran (AES-256-GCM) y las contraseñas se guardan solo como hash (bcrypt). Las conexiones están cifradas (HTTPS/TLS). Solo las personas autorizadas acceden al panel de administración y las copias de seguridad se verifican periódicamente.

12. Eliminación de datos y desconexión de integraciones

Puede desconectar una integración en cualquier momento desde el panel o revocar el acceso directamente en el proveedor (p. ej., Google, Meta).

Cuando desconecta una integración en OperPilot, revocamos el acceso en el proveedor si este lo permite (actualmente Google y TikTok) y eliminamos los tokens de acceso guardados y las estadísticas de las publicaciones obtenidas a través de esa conexión, sin demora y como máximo en 7 días. En los demás proveedores también puede revocar el acceso en la configuración de su cuenta del proveedor. En la Biblioteca se conservan el contenido de las publicaciones, el nombre del canal y el registro de la publicación.

Para eliminar su cuenta y sus datos, escriba a kontakt@operpilot.com desde la dirección asociada a la cuenta.

Los usuarios de Facebook también pueden eliminar la aplicación OperPilot en la configuración de Facebook («Aplicaciones y sitios web») y solicitar la eliminación de sus datos. El estado de la solicitud puede consultarse en el enlace facilitado por Meta. En ese caso eliminamos los tokens de acceso y las estadísticas obtenidas a través de esas conexiones; el historial de publicaciones en OperPilot se conserva.

13. Sus derechos

Tiene derecho a acceder a sus datos y obtener una copia, a la rectificación, supresión, limitación del tratamiento y portabilidad, a oponerse al tratamiento basado en el interés legítimo y a retirar el consentimiento en cualquier momento. Envíe sus solicitudes a kontakt@operpilot.com.

También tiene derecho a presentar una reclamación ante una autoridad de control; en Polonia, el Presidente de la Oficina de Protección de Datos Personales (UODO), ul. Stawki 2, 00-193 Varsovia.

No adoptamos decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos sobre usted.

14. Cookies

Las cookies necesarias (sesión, idioma, registro de su elección de consentimiento) y Google Analytics (solo con consentimiento) se describen en la Política de Cookies (/polityka-cookies).

15. Cambios en esta Política

Informamos a los usuarios de los cambios importantes por correo electrónico o mediante un aviso en la aplicación. La versión vigente está siempre disponible en esta página.