01

1. Responsable del tratamiento

El responsable de los tratamientos propios descritos en esta política es Alejandro García Martínez, que opera Vuelvy como marca comercial.

02

2. Alcance y normativa aplicable

Esta política se aplica a visitantes del sitio, contactos comerciales, clientes, usuarios de cuenta, personas que reservan reuniones y, con las particularidades indicadas, titulares de pases y contactos gestionados por los clientes de Vuelvy. El tratamiento se rige principalmente por el Reglamento (UE) 2016/679, la Ley Orgánica 3/2018 y la Ley 34/2002, además de la normativa sectorial que resulte aplicable.

03

3. Cuándo somos responsables y cuándo encargados

Alejandro García Martínez actúa como responsable respecto de la web, captación de leads, contratación, facturación, cuentas, soporte, seguridad, prevención del fraude, analítica propia y comunicaciones de Vuelvy. Cuando un cliente utiliza la plataforma para gestionar a sus contactos, segmentar audiencias, emitir pases o ejecutar campañas, el cliente determina los fines y es normalmente el responsable; Alejandro García Martínez trata esos datos como encargado siguiendo sus instrucciones y el acuerdo de encargo de tratamiento. Esta política no sustituye el deber del cliente de informar a sus propios usuarios.

Encargo de tratamiento: ficha y formalización
04

4. Personas afectadas y origen de los datos

Los datos pueden proceder directamente de la persona, de la empresa para la que trabaja, de un cliente de Vuelvy que los incorpora lícitamente, de integraciones autorizadas —por ejemplo Shopify o un CRM—, de Apple Wallet o Google Wallet al instalar o actualizar un pase, de una reserva en Cal.com y de la navegación consentida. También podemos recibir datos públicos profesionales cuando exista un interés legítimo válido para un contacto B2B proporcionado, sin utilizar esa base para enviar comunicaciones electrónicas comerciales no permitidas por la LSSI.

05

5. Categorías de datos

Tratamos únicamente las categorías necesarias para cada finalidad y configuración contratada.

  • Identificación y contacto: nombre, email, teléfono profesional y organización
  • Perfil profesional y comercial: cargo, web, sector, necesidad, volumen, calendario y notas de relación
  • Cuenta y contrato: organización, miembros, roles, autenticación, facturación, soporte y auditoría
  • Datos Wallet: identificador interno, clase y objeto del pase, estado, puntos, nivel, beneficios, canjes, historial de cambios y preferencias
  • Configuración del proveedor: modalidad contratada, identificador de emisor y proyecto, cuenta de servicio, roles, permisos, estado de publicación y, en BYOC, credenciales o tokens necesarios para operar la cuenta del cliente
  • Datos de dispositivo y entrega: identificadores técnicos de registro, tokens de actualización, sistema Wallet y señales observables de alta, uso o retirada que facilite el proveedor
  • Navegación y medición: dirección IP, identificadores de cookie, navegador, dispositivo, URL, referente, campaña, eventos, clics y desplazamiento
  • Seguridad: registros de acceso, IP transformada cuando procede, agente de usuario, incidentes y evidencias de consentimiento
06

6. Finalidades y bases jurídicas

Cada tratamiento se apoya en una base jurídica concreta; no utilizamos el consentimiento como condición para prestar funciones que no lo necesitan.

  • Responder solicitudes, preparar propuestas y formalizar servicios: medidas precontractuales o contrato
  • Crear cuentas, prestar la plataforma, emitir, mantener y retirar pases, integrar sistemas, dar soporte y facturar: ejecución del contrato
  • Atender el alta, la revisión, las auditorías y los requerimientos de seguridad o cumplimiento de Apple, Google y otros proveedores: contrato, obligación legal o interés legítimo, según el caso
  • Cumplir obligaciones contables, fiscales, de consumo, protección de datos o requerimientos válidos: obligación legal
  • Proteger la plataforma, evitar abuso, mantener registros mínimos y defender reclamaciones: interés legítimo
  • Enviar novedades o contenidos no solicitados como parte del servicio: consentimiento o habilitación legal aplicable
  • Activar GA4, Microsoft Clarity y tecnologías equivalentes: consentimiento para analítica
  • Activar Google Ads, Meta Pixel, TikTok Pixel, audiencias o medición publicitaria: consentimiento para publicidad y marketing
07

7. Formularios, diagnóstico y relación comercial

Al completar un formulario tratamos los datos facilitados, la página de origen, parámetros UTM, idioma, referente, prueba de consentimiento y señales técnicas de seguridad. Se utilizan para responder, cualificar la solicitud, preparar el diagnóstico y dar seguimiento relacionado. La reserva se gestiona mediante Cal.com. Una solicitud no se incorpora a comunicaciones periódicas salvo que se marque la casilla específica o exista otra habilitación legal documentada.

08

8. Cuentas, contratación, soporte y facturación

Para prestar el SaaS tratamos datos de administradores y miembros, permisos, actividad de cuenta, configuración, tickets, comunicaciones, uso contratado y datos administrativos. Las solicitudes e incidencias de soporte pueden enviarse a soporte@vuelvy.com. Los medios de pago, cuando se habiliten, serán tratados por el proveedor de pago o por Shopify Billing según la modalidad; Vuelvy no necesita almacenar números completos de tarjeta. Los registros de auditoría se usan para seguridad, trazabilidad y cumplimiento.

09

9. Datos gestionados por los clientes en Vuelvy

El cliente decide qué contactos incorpora, la finalidad de su programa, el contenido de los pases y las comunicaciones. Vuelvy puede tratar identificadores, datos de contacto, atributos de segmentación, estado de fidelización, puntos, cupones, canjes, eventos, consentimientos y tokens técnicos necesarios para actualizar un pase. El cliente debe disponer de una base jurídica, facilitar su propia información y respetar bajas, oposición y minimización. Las instrucciones, duración, medidas, asistencia, devolución, supresión y subencargados se concretan en el acuerdo de encargo de tratamiento.

10

10. Google Analytics 4 y Microsoft Clarity

Con consentimiento de analítica podemos utilizar Google Analytics 4 para medir usuarios, sesiones, campañas, recorridos y conversiones, y Microsoft Clarity para comprender la experiencia mediante métricas de comportamiento, mapas de calor y reproducción de sesiones. GA4 puede tratar identificadores de cliente, dispositivo, navegador, eventos y geolocalización aproximada; Google indica que descarta la IP de usuarios europeos antes de registrarla. Clarity registra estructura visible e interacciones como clics, movimientos y desplazamientos; mantenemos enmascarados los campos de formulario y no configuramos la captura deliberada de contraseñas ni del contenido introducido. El consentimiento puede rechazarse o retirarse desde “Configurar cookies”.

  • GA4: medición agregada, atribución y mejora; retención configurada hasta 14 meses
  • Clarity: reproducciones ordinarias hasta 30 días; datos agregados, mapas y sesiones seleccionadas hasta 9 meses
  • No enviamos a estas herramientas nombres, emails o teléfonos como parámetros de analítica ordinaria
  • Microsoft y Alejandro García Martínez actúan como responsables independientes para Clarity conforme a los términos del proveedor
11

11. Google Ads, Meta Pixel y TikTok Pixel

Solo con consentimiento de publicidad podemos activar etiquetas de conversión, remarketing o audiencias de Google Ads, Meta Pixel y TikTok Pixel. Estas tecnologías pueden recibir la URL y referente, evento y momento, campaña o anuncio, IP, agente de usuario, identificadores de cookie o dispositivo y conversiones como una solicitud confirmada. No enviamos el texto libre de formularios, contraseñas ni categorías especiales. La coincidencia avanzada o carga de audiencias con email o teléfono se realizará únicamente si se configura expresamente, se informa de ello y existe base jurídica suficiente.

  • Google utiliza las señales de Consent Mode para respetar las categorías aceptadas
  • Meta puede actuar como corresponsable en la recogida y transmisión mediante sus herramientas y como responsable para tratamientos posteriores
  • TikTok puede actuar como corresponsable, responsable independiente o encargado según la función contratada y sus términos regionales
  • Rechazar marketing impide que Vuelvy cargue estos píxeles publicitarios en el navegador
12

12. Comunicaciones y Klaviyo

Klaviyo se utiliza para sincronizar perfiles comerciales, registrar eventos de relación y enviar comunicaciones. Todo lead puede generar un perfil operacional para atender la solicitud, pero la suscripción a marketing solo se solicita cuando existe consentimiento separado o una habilitación legal aplicable. Cada mensaje comercial incluye un medio de baja. Retirar el consentimiento no afecta a comunicaciones transaccionales necesarias para una solicitud, cuenta o contrato.

13

13. Subencargados del servicio

Para operar Vuelvy utilizamos proveedores sujetos a contrato, confidencialidad, instrucciones y medidas de seguridad. El acceso se limita a la función necesaria. La disponibilidad de algunas integraciones depende de la modalidad contratada. Vuelvy opera directamente el almacenamiento de objetos y recursos de marca mediante Versity en su Mac mini en España (Unión Europea); la compatibilidad S3 no implica almacenamiento en Amazon Web Services. Esta ubicación no se extiende a todos los proveedores externos, cuyas transferencias se explican en la sección 17.

  • Vercel Inc.: alojamiento del sitio y aplicación Next.js, red de entrega, funciones y registros técnicos. Las funciones de producción están configuradas en Estados Unidos (iad1); la red de entrega y otros tratamientos pueden ser globales
  • OVHcloud (OVH Hispano S.L.): servidor de la base de datos PostgreSQL y sus copias de seguridad en Milán, Italia (Unión Europea)
  • Cloudflare Inc.: DNS, red, seguridad, mitigación de abuso y Turnstile
  • Resend (Plus Five Five, Inc., Estados Unidos): envío de invitaciones, recuperación de cuenta, avisos de seguridad, emails transaccionales y campañas habilitadas. Sus metadatos, logs y registros de cuenta/API se almacenan en Estados Unidos; elegir una región de envío europea no cambia esa residencia
  • Klaviyo Inc.: CRM, perfiles, eventos, listas y comunicaciones consentidas
  • Cal.com Inc.: reserva y gestión de reuniones
  • Google Cloud y Google Wallet: infraestructura e integración de pases Google cuando se activa
  • Apple y APNs: distribución y actualización de pases Apple Wallet
  • Shopify: aplicación, API, webhooks y facturación para clientes que conectan una tienda
14

14. Proveedores de medición y otros destinatarios

Google Ireland Limited y entidades de Google, Meta Platforms Ireland Limited, TikTok Technology Limited y sus entidades regionales, y Microsoft Ireland Operations Limited o Microsoft Corporation pueden recibir datos cuando se activan sus tecnologías. Según el producto y sus condiciones pueden actuar como encargados, corresponsables o responsables independientes. También comunicaremos datos a asesores sujetos a confidencialidad, auditores, aseguradoras, compradores en una operación societaria y autoridades cuando exista obligación o requerimiento válido.

15

15. Apple Wallet, Google Wallet e integraciones

Al guardar un pase, Apple o Google tratan información conforme a sus propias políticas y a la configuración de la cuenta de la persona. El pase puede contener información visible, un identificador y coordenadas de establecimientos; el dispositivo puede facilitar a Vuelvy identificadores técnicos y tokens necesarios para instalar, administrar o actualizarlo. En las activaciones por cercanía, Apple o Google evalúan la ubicación del dispositivo y deciden la relevancia o el aviso según sus permisos y reglas. Configurar establecimientos no permite por sí solo que Vuelvy reciba una ubicación precisa ni un historial continuo del titular. Apple y Google operan sus respectivas plataformas como responsables independientes. Las integraciones con Shopify, CRM u otros sistemas se activan por instrucción del cliente y pueden intercambiar los datos mínimos definidos en su configuración.

16

16. Google Wallet en modalidad agregador o BYOC

La modalidad aplicable se identifica en el contrato con Vuelvy y no altera las funciones que atribuya la ley: el negocio cliente es normalmente responsable de los datos y comunicaciones de sus titulares; Alejandro García Martínez actúa como encargado cuando opera el programa siguiendo sus instrucciones y como responsable de los registros estrictamente necesarios para seguridad, facturación, defensa de reclamaciones y cumplimiento propio; Google trata los datos de su cuenta, dispositivo y plataforma conforme a sus propias condiciones y política de privacidad.

  • Agregador: si Google autoriza a Vuelvy para ello, Alejandro García Martínez utiliza infraestructura y credenciales gestionadas por Vuelvy para crear o administrar emisores, clases y objetos de varios clientes, remitir a Google el contenido y los datos necesarios y recibir las señales de ciclo de vida que ofrezca la API
  • BYOC: el cliente controla su cuenta de emisor, proyecto y credenciales de Google; Vuelvy accede con permisos mínimos para ejecutar instrucciones, mantiene trazabilidad del acceso y protege, rota o suprime los secretos conforme al contrato y al acuerdo de encargo
  • Google puede recibir identificadores de emisor, clase y objeto, marcas y recursos visuales, campos visibles del pase, enlaces, ubicaciones configuradas, datos de emisión o actualización y señales necesarias para guardar, usar o retirar el pase
  • Vuelvy no accede al contenido general de la cuenta Google Wallet ni a los medios de pago del titular por prestar este servicio. Solo trata los datos incluidos en el programa o devueltos por las API autorizadas, y no vende los datos Wallet ni los utiliza para publicidad de terceros
  • El cambio de modalidad o emisor requiere autorización documentada. La migración, exportación, revocación de permisos y supresión o conservación de datos se ejecutarán según el contrato, el acuerdo de encargo, las capacidades de Google y las obligaciones legales
17

17. Transferencias internacionales

Algunos proveedores o sus subencargados procesan datos fuera del Espacio Económico Europeo. Antes de habilitarlos aplicamos el mecanismo disponible y adecuado al caso: decisión de adecuación, Marco de Privacidad de Datos UE–EE. UU. cuando la entidad esté certificada, cláusulas contractuales tipo aprobadas por la Comisión Europea y, cuando resulte necesario, evaluación de transferencia y medidas complementarias. Para Vercel, Resend y Cloudflare documentamos las cláusulas contractuales tipo incorporadas en sus acuerdos de tratamiento, con las evaluaciones y medidas complementarias exigibles; no atribuimos residencia exclusiva en la UE a estos servicios. Puedes consultar los acuerdos de Vercel (https://vercel.com/legal/dpa), Resend (https://resend.com/legal/dpa) y Cloudflare (https://www.cloudflare.com/cloudflare-customer-dpa/), o solicitar información sobre las garantías aplicables escribiendo a privacy@vuelvy.com.

18

18. Conservación y supresión

Conservamos los datos solo durante el tiempo necesario para cada finalidad y para atender responsabilidades.

  • Consultas y oportunidades inactivas: normalmente 12 meses desde la última interacción
  • Marketing: hasta la baja; la prueba del consentimiento o de la oposición se conserva durante los plazos de responsabilidad
  • Evidencia mínima contractual, fiscal y contable: durante la relación y los plazos legales aplicables; con carácter general, cuatro años para obligaciones fiscales desde el inicio legal de cada plazo y seis años para documentación mercantil desde el último asiento. Las interrupciones o un plazo especial se documentan y solo afectan a la evidencia necesaria
  • Datos de cuenta y servicio: durante el contrato. El cierre integral se tramita manualmente bajo instrucciones verificadas, con devolución o borrado principal ordinario dentro de treinta días desde la terminación efectiva o instrucción válida; los plazos legales de ejercicio de derechos siguen siendo aplicables
  • Datos de clientes y titulares de pases: según instrucciones, configuración de retención y DPA del cliente; no se conservan en bloque durante cuatro a seis años por el mero uso del servicio. La evidencia legal imprescindible se separa con acceso restringido y vencimiento propio
  • Credenciales y accesos BYOC: mientras sean necesarios para el servicio; al terminar se revocan, devuelven o suprimen según el contrato, salvo registros mínimos de auditoría o conservación legal
  • Logs de seguridad y soporte: el plazo mínimo necesario según riesgo, normalmente entre 30 y 180 días salvo incidente
  • Copias propias: rotación con máximos de catorce días para diarias, cuarenta y dos para semanales y sesenta para mensuales. En el cierre ordinario, las copias afectadas se eliminan como máximo noventa días desde la terminación efectiva o instrucción válida. No se usan para actividad ordinaria y se reaplican las supresiones antes de reanudar una restauración. Las versiones no vigentes de objetos caducan por tarea propia; los pases y recursos vigentes no caducan por su edad
19

19. Segmentación y decisiones automatizadas

Podemos calcular una puntuación de lead para ordenar la atención y crear segmentos para campañas o analítica. Los proveedores publicitarios pueden elaborar audiencias o atribuir conversiones cuando existe consentimiento. Vuelvy no adopta decisiones exclusivamente automatizadas que produzcan efectos jurídicos o afecten de modo similar significativamente a visitantes o leads. Si un cliente configura perfilado sobre sus propios contactos, deberá evaluarlo, informar a las personas y habilitar las garantías exigibles.

20

20. Derechos de las personas

Puedes solicitar acceso, rectificación, supresión, oposición, limitación y portabilidad, retirar un consentimiento en cualquier momento y no ser objeto de decisiones automatizadas en los casos legalmente previstos. Escribe a privacy@vuelvy.com indicando el derecho y la información necesaria para localizar los datos. Podremos pedir una verificación proporcionada de identidad. Si Vuelvy trata los datos por cuenta de un cliente, trasladaremos o coordinaremos la solicitud con ese responsable. También puedes reclamar ante la Agencia Española de Protección de Datos en aepd.es.

21

21. Seguridad e incidentes

Aplicamos medidas proporcionales al riesgo: TLS, control de acceso y roles, separación de entornos, cifrado de secretos, trazabilidad, validación de entradas, limitación de abuso, copias de seguridad, gestión de vulnerabilidades y minimización de registros. Ningún sistema es infalible. Las vulnerabilidades o incidentes pueden comunicarse de forma confidencial a seguridad@vuelvy.com, sin incluir credenciales ni datos personales innecesarios. Ante una violación de seguridad evaluaremos el riesgo, documentaremos la respuesta y notificaremos a clientes, autoridad o personas afectadas cuando lo exija la ley o el contrato.

22

22. Menores, datos sensibles y cambios

Vuelvy es un servicio empresarial y no se dirige a menores de 14 años. No deben incorporarse categorías especiales de datos, credenciales financieras, documentos de identidad ni información de menores a pases, formularios o campos libres sin autorización previa y escrita de Vuelvy, evaluación específica, salvaguardas adecuadas y, para pases privados o información sensible en Google Wallet, el permiso expreso de Google cuando sea exigible. Actualizaremos esta política cuando cambien los tratamientos, proveedores o requisitos legales; los cambios materiales se comunicarán cuando resulte exigible. La versión española prevalece cuando la ley lo permita.

23

23. Inicio de sesión con Google

Cuando esté disponible, puedes crear tu cuenta, acceder o vincular tu cuenta de Google a una cuenta Vuelvy mediante el inicio de sesión con Google. Es opcional: también puedes usar email y contraseña. Usamos Google exclusivamente para autenticarte y proteger tu cuenta. Solo solicitamos los permisos openid, email y profile; no pedimos acceso a Gmail, Google Drive, Google Calendar, Contactos ni a otros datos de tu cuenta de Google, ni permisos sensibles o restringidos. Elegir Google no supone consentimiento para comunicaciones comerciales ni fusiona identidades automáticamente: solo aceptamos emails verificados por Google y una cuenta Vuelvy existente solo se vincula cuando lo solicitas con la sesión iniciada.

  • Datos que recibimos de Google: el identificador estable de tu cuenta de Google, tu email verificado, tu nombre y, si existe, la dirección de tu imagen de perfil. Se guardan en tu usuario de Vuelvy y en el registro de la conexión con Google
  • Tokens: al completar el acceso, Google entrega tokens OAuth. Los tokens de acceso y, si Google llegara a emitirlo, de actualización se guardan cifrados en nuestra base de datos. El token de identidad firmado por Google, que repite esos datos básicos, se guarda junto a la conexión protegido por los controles de acceso y seguridad de la base de datos, sin un cifrado adicional propio. Pedimos acceso solo mientras inicias sesión y no usamos estos tokens para consultar otros servicios de Google
  • Finalidad y base jurídica: crear y mantener tu cuenta, iniciar sesión, vincular este método de acceso, prevenir accesos indebidos y atender incidentes de seguridad, sobre la base del contrato o de medidas precontractuales y de nuestro interés legítimo en la seguridad. El personal solo accede a estos datos para el soporte que solicites, la seguridad, la investigación de abusos o el cumplimiento legal
  • Proveedores: Vercel ejecuta la aplicación y el proceso de autenticación; OVHcloud aloja la base de datos PostgreSQL y sus copias de seguridad; Cloudflare presta red y seguridad; Resend envía los emails transaccionales necesarios para tu cuenta, como recuperación de acceso y avisos de seguridad. Actúan como encargados con acceso limitado a su función. Google trata tu acceso como responsable independiente conforme a su política de privacidad: https://policies.google.com/privacy
  • Usos excluidos: no vendemos los datos recibidos de Google ni los usamos o cedemos para publicidad, remarketing, creación o enriquecimiento de audiencias, perfiles comerciales o entrenamiento de modelos de inteligencia artificial o aprendizaje automático. Lo indicado en las secciones 10, 11, 12 y 19 sobre analítica, píxeles, comunicaciones y segmentación no se aplica a estos datos ni prevalece sobre esta exclusión
  • El uso que Vuelvy hace de la información recibida de las API de Google, y su transferencia a cualquier otra aplicación, se ajusta a la Política de Datos de Usuario de los Servicios de API de Google (https://developers.google.com/terms/api-services-user-data-policy), incluidos los requisitos de Uso Limitado cuando resulten aplicables. Solo compartimos estos datos con los proveedores indicados, cuando lo exija la ley o con tu consentimiento
  • Conservación y desconexión: conservamos la conexión mientras mantengas tu cuenta y, después, solo el mínimo necesario para seguridad, obligaciones legales o defensa de reclamaciones. Puedes retirar el acceso de Vuelvy en https://myaccount.google.com/connections: se revoca la autorización concedida a Vuelvy y podrás volver a autorizarla al iniciar sesión. Esto no cierra las sesiones de Vuelvy ya abiertas, no suprime por sí solo sus registros ni cancela tu cuenta. Para pedir la supresión escribe a privacy@vuelvy.com; podremos verificar tu identidad de forma proporcionada y conservar lo que exija la ley. Al suprimir tu usuario se eliminan también la conexión y sus tokens, que solo permanecen en copias de seguridad hasta su rotación
  • Nuevos usos: si quisiéramos usar estos datos para otra finalidad o pedir a Google permisos adicionales, te informaremos antes y solicitaremos tu consentimiento cuando sea necesario. Un aviso de actualización de esta política no sustituye ese consentimiento