Política de privacidad

1. Quién es responsable de qué

En Odoocreams hay dos papeles distintos, y conviene saber cuál aplica a cada dato:

Que varias empresas compartan la plataforma no significa que compartan datos: cada una solo ve lo suyo, y solo acceden a los datos de una empresa las personas a las que esa empresa ha dado permiso.

2. Datos de contacto

Prestador de la plataforma

• NombreJuan Pérez-Nievas (persona física)
• NIF78761412M
• DomicilioCalle Reyes Católicos 30, 01002 Vitoria-Gasteiz (Álava)
• Email de privacidadhello@ducreams.com

No es obligatorio designar un delegado de protección de datos y no se ha designado.

Empresas que usan la plataforma

Cada una es responsable de sus propios datos. Si no sabes cuál es la tuya, es la que aparece con su nombre al entrar en la app.

• Ducreams SLPrivacidad: escribe a hello@ducreams.com y se lo trasladamos
• La Mejor Calidad Importaciones SLPrivacidad: escribe a hello@ducreams.com y se lo trasladamos
• Txapela Brava Catering SLPrivacidad: escribe a hello@ducreams.com y se lo trasladamos
• Arzelec Instalaciones SLPrivacidad: escribe a hello@ducreams.com y se lo trasladamos

3. Qué datos tratamos como responsables

Tu cuenta de acceso

Nombre, email, contraseña (guardada siempre cifrada con un algoritmo de un solo sentido, nunca en claro), segundo factor si lo activas, empresas y roles que tienes, idioma, zona horaria y fecha del último acceso.

Sesiones y registros de seguridad

Sesiones abiertas (dirección IP, tipo de dispositivo y navegador) y un registro de las acciones relevantes que se hacen en la plataforma (quién hizo qué y cuándo), para proteger las cuentas, investigar incidentes y dejar trazabilidad.

Tu dispositivo

Si permites las notificaciones, guardamos el identificador de notificaciones (token) que Apple asigna a tu iPhone. El desbloqueo con Face ID o Touch ID es enteramente local: el dato biométrico nunca sale del iPhone ni llega a nuestros servidores; solo guardamos, cifrada en el llavero del propio dispositivo, la credencial de sesión que Face ID desbloquea. La app no accede a tu ubicación (GPS) en ningún caso. La cámara solo se usa cuando tú la abres para escanear un código o fotografiar un documento.

Soporte

Lo que nos cuentes cuando nos escribes para pedir ayuda y nuestras respuestas.

4. Para qué y con qué base legal

• Darte acceso y mantener tu cuenta. Interés legítimo (art. 6.1.f RGPD) en prestar a tu empresa el servicio que ha contratado: sin cuenta no puedes usar la herramienta de trabajo que tu empresa te facilita.
• Seguridad, prevención de accesos indebidos y trazabilidad. Obligación legal de garantizar la seguridad de los datos (arts. 6.1.c y 32 RGPD) e interés legítimo en proteger la red y la información (art. 6.1.f y considerando 49 RGPD).
• Enviarte avisos push. Interés legítimo en avisarte de lo que afecta a tu trabajo. Tú decides si los recibes: iOS te pide permiso y puedes retirarlo en cualquier momento desde los Ajustes del iPhone.
• Atender tus consultas de soporte. Interés legítimo en resolver incidencias del servicio.

Cuando la base es el interés legítimo, puedes oponerte escribiéndonos (apartado 9). No usamos tus datos con fines publicitarios, no hacemos seguimiento entre apps o webs de terceros, no elaboramos perfiles sobre ti y no vendemos ni cedemos tus datos.

5. Cuánto tiempo los guardamos

• Cuenta: mientras tengas acceso. Si eliminas tu cuenta o tu empresa te da de baja, se anonimiza.
• Sesiones y direcciones IP: la dirección IP y el navegador se borran solos a los 12 meses, tanto de las sesiones como del registro de actividad.
• Registro de actividad (quién hizo qué y cuándo): el plazo lo fija cada empresa en su política de conservación, porque ese registro documenta también sus operaciones; como referencia, hasta 6 años cuando sirve de soporte a su contabilidad (art. 30 del Código de Comercio).
• Soporte: hasta 3 años desde que se cierra la consulta.
• Copias de seguridad: se renuevan en ciclos de 30 días.

Pasados esos plazos, los datos se borran o se anonimizan. Si una ley obliga a conservarlos más tiempo, o hacen falta para atender posibles reclamaciones, quedan bloqueados (art. 32 LOPDGDD): apartados y solo a disposición de jueces y autoridades.

6. Lo que tratamos por cuenta de tu empresa

Según los módulos que use tu empresa, la plataforma guarda datos como estos. Sobre ellos, la responsable es tu empresa: ella decide para qué se usan, cuánto se guardan y quién los ve dentro de la empresa, y debe informarte de ello. El prestador solo los trata siguiendo sus instrucciones, bajo un contrato de encargo del tratamiento (art. 28 RGPD), y nunca para fines propios.

• Trabajo diario: registro de jornada (fichajes, que la ley obliga a conservar 4 años), partes de horas, ausencias y vacaciones, nóminas y expedientes de RRHH.
• Clientes y proveedores: fichas de clientes, proveedores y contactos, presupuestos, pedidos, facturas (TicketBAI), cobros y banca.
• Llamadas: en las empresas con centralita, las llamadas comerciales pueden grabarse, transcribirse y resumirse con IA, y generan estadísticas de actividad por comercial.
• Asistente de IA: tus conversaciones con el asistente se guardan en la cuenta de tu empresa; sus administradores pueden revisarlas según las normas internas que tu empresa te haya comunicado.
• Otros: correo y calendarios conectados, cámaras de las tiendas, campañas de email y encuestas, fidelización y tienda online.

Para cualquier pregunta sobre estos datos, dirígete a tu empresa (apartado 2). Si nos escribes a nosotros, trasladaremos tu solicitud a tu empresa sin demora y la ayudaremos a responderte.

7. Proveedores que intervienen

Para prestar el servicio usamos estos proveedores. Los que tratan datos por nuestra cuenta lo hacen con un contrato de encargo (art. 28 RGPD) que les obliga a seguir nuestras instrucciones y a aplicar medidas de seguridad. Telegram, si lo vinculas tú, es un servicio de mensajería independiente. La lista se revisa al menos una vez al año.

• HostingerAlojamiento del servidor privado (VPS) donde viven la aplicación, la base de datos y sus copias de seguridad.Dónde: Hostinger International Ltd., con sede en Chipre (Unión Europea).
• AnthropicModelo de IA que usan el asistente, la lectura automática de tickets y facturas, la clasificación de documentos y los resúmenes. No usa estos datos para entrenar sus modelos.Dónde: Estados Unidos. Garantía: cláusulas contractuales tipo de la Comisión Europea incluidas en su acuerdo de tratamiento de datos.Solo cuando se usa una función de IA.
• AppleServicio de notificaciones push (APNs) de la app de iPhone.Dónde: Estados Unidos. Garantía: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.Solo si permites las notificaciones en tu iPhone.
• Proveedor de centralita telefónicaEnrutar, grabar y transcribir llamadas comerciales.Dónde: Frankfurt (Alemania), Unión Europea.Solo en las empresas que usan la centralita.
• Google y MicrosoftSincronizar calendarios y leer el buzón de facturas conectados por la empresa o por ti.Dónde: Pueden tratar datos en Estados Unidos. Garantía: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.Solo si se conecta voluntariamente una cuenta.
• GoCardless y Enable BankingObtener los movimientos bancarios para conciliar cobros y pagos.Dónde: Unión Europea y Reino Unido (país con decisión de adecuación).Solo si la empresa conecta sus bancos.
• OpenStreetMap (Nominatim)Convertir la dirección de un cliente en coordenadas para el mapa. Se envía solo la dirección postal, sin nombre.Dónde: Reino Unido (país con decisión de adecuación).
• Ortto, Stripe y SignaturitAutomatizaciones de email, cobro con tarjeta y firma electrónica.Dónde: Según el proveedor, pueden tratar datos fuera del EEE. Garantía: cláusulas contractuales tipo o Marco de Privacidad de Datos UE-EE. UU.Solo si la empresa activa esa integración.
• OpenFreeMap y esm.shDescarga de las teselas de los mapas (OpenFreeMap) y de las tipografías del editor de planos (esm.sh). No reciben ningún dato tuyo ni de clientes: solo, como cualquier descarga, la dirección IP de tu dispositivo.Dónde: Servidores de distribución de contenido que pueden estar fuera del EEE.Solo al abrir un mapa o un plano.
• TelegramRecordatorios y manejo de tu propio contador de horas (iniciar, pausar, ver tus horas del día) desde tu Telegram. No se envían por ahí datos de clientes ni de otras personas (salvo lo que tú mismo escribas en el chat).Dónde: Fuera del EEE. Telegram presta su servicio de mensajería bajo sus propias condiciones.Solo si tú decides vincular el bot desde tu perfil. Puedes desvincularlo cuando quieras.

Además, cada empresa comunica los datos de su negocio a quien la ley o su actividad exigen (Haciendas forales y AEAT, Seguridad Social, bancos, gestoría, transportistas…), según explica su propia política.

8. Transferencias fuera del Espacio Económico Europeo

Los datos se alojan en el servidor de Hostinger descrito en el apartado 7. Solo salen del Espacio Económico Europeo cuando se usa una función que depende de uno de los proveedores del apartado 7 con sede fuera, y siempre con una de las garantías del RGPD: decisión de adecuación de la Comisión Europea (como el Marco de Privacidad de Datos UE-EE. UU. o la del Reino Unido) o cláusulas contractuales tipo aprobadas por la Comisión (arts. 45 y 46 RGPD). Puedes pedirnos copia de esas garantías.

9. Tus derechos

Puedes pedir acceso a tus datos, rectificarlos, suprimirlos, oponerte a su tratamiento, limitarlo o llevártelos (portabilidad), escribiendo a hello@ducreams.com. Te pediremos lo justo para comprobar tu identidad y te responderemos en el plazo de un mes (ampliable dos meses más en casos complejos, avisándote). Es gratuito.

Eliminar tu cuenta tú mismo: en la app, entra en Ajustes → Seguridad → Eliminar mi cuenta. Lo que es de tu empresa (facturas, pedidos, fichajes y demás documentos que la ley obliga a conservar) se mantiene, pero tu nombre y tu email de acceso dejan de estar asociados a ti.

Si crees que no hemos atendido bien tu solicitud, puedes reclamar ante la Agencia Española de Protección de Datos (aepd.es, C/ Jorge Juan 6, 28001 Madrid).

10. Seguridad

Comunicaciones cifradas (HTTPS/TLS), contraseñas cifradas, verificación en dos pasos, bloqueo tras intentos fallidos, sesiones revocables, secretos de las integraciones cifrados, separación estricta de los datos de cada empresa, permisos por rol y registro de actividad. Si se produjera una brecha de seguridad que afecte a tus datos, actuaremos según el RGPD: aviso a la autoridad en 72 horas cuando proceda y a ti si hay un riesgo alto.

11. Cookies

Solo usamos una cookie técnica de sesión y almacenamiento local para recordar tus preferencias. No hay cookies de publicidad ni de analítica. Detalle en la política de cookies.

12. Menores de edad

Odoocreams es una herramienta de uso profesional y no está dirigida a menores de edad.

13. Cambios en esta política

Si la cambiamos de forma relevante, actualizaremos la fecha del principio y, si el cambio te afecta, te lo comunicaremos.

14. Contacto

Para cualquier duda sobre privacidad, escribe a hello@ducreams.com. Para dudas de uso de la app, visita la página de soporte.