Política de privacidad · AffiliaTracker

Preámbulo

DataGrowt Systems, S.L. (en adelante, «DataGrowt»), titular de la plataforma SaaS multitenant comercializada con la marca AffiliaTracker, trata los datos personales con los principios de protección de datos desde el diseño y por defecto del artículo 25 del RGPD.

Esta Política de Privacidad (la «Política») tiene una primera capa breve, con la información básica, y una segunda capa que desarrolla cada punto del artículo 13 del RGPD y del artículo 11 de la LOPDGDD.

Se aplica a:

• (i) los visitantes de la web affiliatracker.com;
• (ii) las personas que nos piden una demo o nos escriben;
• (iii) los clientes (empresas que contratan AffiliaTracker, en adelante «Tenants») y sus representantes;
• (iv) las personas cuyos datos cargan o tratan los Tenants en los módulos del servicio (CRM Cloud, Affiliate Cloud y sus portales, Lead Gen Cloud, Marketing Cloud, People y Projects), respecto de las cuales DataGrowt actúa solo como encargado del tratamiento.

Capa 1. Información básica

1. Responsable del tratamiento

1.1. Datos del responsable

1.2. Delegado de protección de datos

DataGrowt no ha designado un delegado de protección de datos. Para cualquier cuestión sobre privacidad, el ejercicio de tus derechos o la seguridad de tus datos, escríbenos a info@affiliatracker.com.

2. Los dos papeles de DataGrowt

DataGrowt tiene dos papeles distintos según de qué datos se trate. Saber cuál aplica en cada caso te dice a quién dirigirte.

Bloque A. DataGrowt como responsable del tratamiento

DataGrowt decide los fines y medios únicamente de los datos que recoge directamente en su actividad propia:

2.A.1. Visitantes de la web

La web affiliatracker.com no usa cookies ni herramientas de analítica y no carga recursos de terceros (fuentes, vídeos o mapas). Como cualquier servidor web, el de nuestro proveedor de alojamiento (IONOS) anota en sus registros técnicos la dirección IP, la fecha y hora, la página solicitada y el navegador de cada visita.

Finalidad: seguridad y funcionamiento del sitio. Base legal: interés legítimo en la seguridad de la web (art. 6.1.f RGPD). Plazo: [CONFIRMAR: plazo de los registros de IONOS], salvo que haga falta conservarlos para investigar un incidente.

2.A.2. Solicitudes de demo y mensajes que nos envías

Datos tratados. Los que nos das en el formulario de demo: nombre y apellido, correo de empresa, empresa, teléfono (opcional), qué quieres resolver, volumen aproximado de leads (opcional), tu mensaje (opcional) y, si lo eliges, el plan que te interesa; además, la fecha y hora en que marcaste la casilla de privacidad. Lo mismo vale si nos escribes directamente por correo.

Cómo se envía. El formulario manda los datos a nuestro servidor, que los reenvía por correo a nuestro buzón. No se guardan en ninguna base de datos. Para frenar abusos, el servidor anota una huella (hash) de la dirección IP y la hora de cada envío; esas anotaciones solo sirven para contar los envíos de los últimos 10 minutos y, pasado ese tiempo, se eliminan con el siguiente envío que recibe el servidor. No se asocian a tu nombre ni a tu correo.

Finalidades. Atender tu solicitud, organizar la demo y, si te interesa, prepararte una propuesta. No usamos tus datos para enviarte comunicaciones comerciales.

Base legal. Medidas precontractuales que nos pides (art. 6.1.b RGPD). La huella de la IP, interés legítimo en evitar envíos abusivos (art. 6.1.f RGPD).

Destinatarios. Nadie, salvo nuestro proveedor de alojamiento y correo (IONOS), que actúa como encargado del tratamiento.

Conservación. Si no llegamos a trabajar juntos, borramos tus datos a los 12 meses del último contacto. Si contratas, pasan al apartado 2.A.3.

Derechos. Puedes ejercerlos como se explica en el apartado 5.

2.A.3. Clientes (Tenants) y sus representantes

Datos tratados. Datos identificativos y de contacto del Tenant y de sus representantes (razón social, NIF, persona de contacto, cargo, correo profesional, teléfono, dirección fiscal), datos de facturación (importes facturados y forma de pago; cuando se active el cobro por domiciliación o tarjeta, los datos de pago los gestiona Stripe), datos de acceso a la cuenta (correo de usuario y contraseña, que se guarda con hash) y datos del contrato (plan, fechas y uso incluido).

Finalidades.

• (i) Alta, mantenimiento, gestión y ejecución del contrato del servicio;
• (ii) Facturación, cobro, gestión de impagos y obligaciones contables;
• (iii) Soporte técnico, comunicaciones sobre el servicio y atención al cliente;
• (iv) Cumplimiento de obligaciones legales fiscales y mercantiles y, cuando proceda, de prevención del blanqueo de capitales;
• (v) Defensa frente a posibles reclamaciones.

Base legal.

• Artículo 6.1.b) RGPD: ejecución del contrato del que el Tenant es parte o medidas precontractuales a su petición.
• Artículo 6.1.c) RGPD: cumplimiento de obligaciones legales (Código de Comercio, Ley General Tributaria y demás normativa aplicable).
• Artículo 6.1.f) RGPD: interés legítimo en la seguridad de la cuenta, la defensa jurídica y la gestión interna de la relación contractual.

Plazos de conservación.

• Datos contractuales: mientras dure el contrato.
• Datos contables y fiscales: bloqueados durante los plazos legales, en particular seis (6) años para libros y documentos contables (artículo 30 del Código de Comercio) y cuatro (4) años de prescripción tributaria (artículo 66 de la Ley General Tributaria); se aplica el más largo.
• Datos para la defensa jurídica: hasta la prescripción de las acciones.

2.A.4. Comunicaciones comerciales

Hoy DataGrowt no envía boletines ni comunicaciones comerciales. Si en el futuro los envía, pedirá antes tu consentimiento en una casilla aparte, opcional y sin marcar, o, si ya eres cliente, se basará en el artículo 21.2 de la LSSI-CE para productos o servicios similares a los contratados. Cada envío incluirá una forma sencilla y gratuita de darse de baja, y esta Política se actualizará antes.

2.A.5. Candidaturas de empleo

Datos tratados. Los datos del currículo que nos envíe voluntariamente el candidato.

Base legal. Consentimiento (art. 6.1.a RGPD) y medidas precontractuales (art. 6.1.b RGPD).

Plazos. Máximo dos (2) años desde la recepción de la candidatura, salvo que se retire antes el consentimiento.

2.A.6. Destinatarios de los datos que tratamos como responsable

• Los proveedores que tratan datos por nuestra cuenta, en especial IONOS (alojamiento y correo). Lista completa en el apartado 6.
• La asesoría fiscal y contable de DataGrowt [CONFIRMAR: nombre], para las obligaciones contables y fiscales.
• Las entidades bancarias con las que operamos, para cobros y pagos.
• Cuando se active el cobro por domiciliación o tarjeta: Stripe Payments Europe, Ltd. (Irlanda), que gestiona los cobros de la suscripción.
• La Administración Tributaria, juzgados y otras autoridades, cuando lo exija la ley.

Bloque B. DataGrowt como encargado del tratamiento

Importante para las personas cuyos datos están en la plataforma:

Cuando una persona rellena un formulario de una landing publicada por un Tenant de AffiliaTracker, recibe un correo enviado desde la plataforma, figura en el CRM de un Tenant, forma parte de su red de afiliación o trabaja para él, el responsable de ese tratamiento es el Tenant (la empresa que ha contratado AffiliaTracker y opera la cuenta), no DataGrowt.

En esos casos DataGrowt actúa solo como encargado del tratamiento (artículo 28 del RGPD), según el contrato de encargo del tratamiento (DPA): pone la infraestructura técnica, no decide los fines ni los medios, no explota los datos para fines propios y no los vende ni cede a terceros distintos de los subencargados autorizados.

2.B.1. Qué hace la plataforma con esos datos

DataGrowt opera AffiliaTracker como una plataforma tecnológica multitenant que:

• (a) da a cada Tenant un espacio lógico separado en el que carga, gestiona y usa sus propios datos;
• (b) permite la integración técnica con sus afiliados, compradores, leads y destinatarios;
• (c) ejecuta las instrucciones técnicas que configura el Tenant (recepción y entrega de leads, formularios, envíos, etc.);
• (d) almacena los datos del Tenant con las medidas de seguridad descritas en el DPA.

2.B.2. Módulos y responsable de los datos

2.B.3. Cómo ejercer los derechos sobre los datos de un Tenant

Las personas cuyos datos haya recogido o tratado un Tenant deben dirigirse directamente a ese Tenant, cuyos datos de contacto deben figurar en la información de protección de datos del formulario, campaña o canal en el que se recogieron (artículos 13 y 14 del RGPD).

Si una persona se dirige por error a DataGrowt, le indicaremos, en la medida en que lo sepamos, qué Tenant es el responsable y trasladaremos la solicitud a ese Tenant según la cláusula 7 del DPA.

En Lead Gen Cloud, la atención de los derechos sobre los leads requiere hoy una intervención técnica de DataGrowt: no hay una función en el panel para hacerlo. DataGrowt la realiza a petición del Tenant.

2.B.4. Sin uso de los datos del Tenant para fines propios

DataGrowt no utilizará los datos personales que el Tenant introduce en la plataforma para:

• (a) ofrecerlos a terceros con fines comerciales;
• (b) construir bases de datos comercializables;
• (c) hacer marketing propio dirigido a las personas de los Tenants;
• (d) entrenar modelos de IA con datos identificables.

El único uso permitido es el estrictamente necesario para prestar el servicio.

3. Inteligencia artificial e investigación de empresas

3.1. Uso de la IA en la plataforma (artículo 50 del Reglamento de IA)

AffiliaTracker incorpora funciones de inteligencia artificial para redactar borradores de correos y mensajes, investigar y enriquecer fichas de empresas y proponer un primer borrador de landing en Lead Gen Cloud. El proveedor es OpenAI.

Estas funciones trabajan con supervisión humana:

• (i) La IA no decide ni actúa por su cuenta: no envía correos, no reparte leads, no exporta datos ni produce efectos frente a terceros.
• (ii) Se limita a proponer y redactar a partir de los datos del Tenant que el usuario le da.
• (iii) Lo que propone la IA lo revisa y decide una persona del Tenant antes de usarlo.
• (iv) Una vez validado, el resultado es responsabilidad del Tenant como acto propio.

3.2. Sin decisiones automatizadas con efectos jurídicos

DataGrowt no toma, en nombre propio, decisiones individuales automatizadas —incluida la elaboración de perfiles— que produzcan efectos jurídicos sobre las personas o les afecten de forma similar (artículo 22 del RGPD). La plataforma no puntúa leads de forma predictiva ni reparte leads con IA.

Si un Tenant usa la plataforma para segmentar o seleccionar personas con efectos relevantes sobre ellas, es el Tenant —y no DataGrowt— quien debe cumplir las obligaciones de transparencia, supervisión humana y, en su caso, evaluación de impacto.

3.3. Investigación de empresas en CRM Cloud, a petición del Tenant

CRM Cloud permite consultar fuentes accesibles públicamente (por ejemplo, el registro mercantil o la web de una empresa) para completar fichas de empresas y contactos profesionales. Al respecto:

• (a) estas consultas las lanza un usuario del Tenant, por instrucción expresa;
• (b) DataGrowt actúa como pasarela técnica de consulta y agregación, sin decidir la finalidad;
• (c) el Tenant es responsable de contar con base de licitud para el tratamiento posterior de los datos obtenidos (artículos 6 y 14 del RGPD), de hacer la ponderación del interés legítimo cuando proceda y de informar a las personas afectadas según el artículo 14 del RGPD;
• (d) DataGrowt no garantiza la exactitud, actualidad o licitud de las fuentes consultadas.

3.4. Sin entrenamiento de modelos con datos del Tenant

DataGrowt no utiliza los datos personales del Tenant para entrenar modelos de IA propios ni de terceros.

3.5. Proveedor de IA: clave común o clave propia

Cuando el Tenant usa la clave de IA común de la plataforma, OpenAI trata lo que el usuario envía a la IA como subencargado de DataGrowt, con transferencia a Estados Unidos (ver los apartados 6.2 y 6.3).

Cuando el Tenant configura su propia clave de OpenAI, la relación es directa entre el Tenant y OpenAI: corresponde al Tenant el contrato con ese proveedor y las garantías de la transferencia internacional.

4. Tolerancia cero al spam y captación lícita de leads

4.1. Compromiso

DataGrowt no admite el spam ni la captación ilícita de leads, y así lo exige a sus Tenants en las condiciones de contratación y en la política de uso aceptable.

4.2. Prohibiciones

Los Tenants no pueden usar la plataforma para:

• (a) enviar comunicaciones comerciales electrónicas sin base de licitud o sin las garantías del artículo 21 de la LSSI-CE;
• (b) cargar o usar listas compradas, alquiladas o intercambiadas sin base jurídica específica;
• (c) cargar o usar listas obtenidas mediante scraping de redes sociales, directorios o plataformas de Internet sin consentimiento de las personas;
• (d) usar listas filtradas u obtenidas ilícitamente, aunque sean accesibles;
• (e) enviar leads falsos, tráfico fraudulento, granjas de clics, cookie stuffing o cualquier otra práctica fraudulenta a Affiliate Cloud.

Incumplir cualquiera de estas prohibiciones es un incumplimiento esencial y permite a DataGrowt suspender el módulo y resolver el contrato según las condiciones de contratación.

4.3. Obligaciones del Tenant en sus envíos

El Tenant debe incluir en cada comunicación comercial una forma sencilla y gratuita de darse de baja (artículo 22.1 de la LSSI-CE), identificar al remitente, respetar las bajas y oposiciones que reciba y conservar la prueba de la base de licitud de cada destinatario. DataGrowt podrá suspender el envío de campañas de una cuenta ante indicios de abuso o de quejas.

4.4. Responsabilidad regulatoria del Tenant

Las sanciones que la AEPD u otras autoridades puedan imponer por spam, comunicaciones ilícitas, cookies no conformes o captación irregular de leads en la actividad de un Tenant recaen sobre el Tenant como responsable del tratamiento, sin perjuicio del derecho de DataGrowt a repetir contra él si se le identificara por error como corresponsable.

4.5. Cómo denunciar un abuso

Cualquier persona, autoridad o tercero puede comunicar a DataGrowt un uso aparentemente abusivo de la plataforma en info@affiliatracker.com. DataGrowt investigará la denuncia y, sin revelar la identidad del Tenant salvo requerimiento legítimo de una autoridad, adoptará las medidas que procedan.

5. Tus derechos y cómo reclamar

5.1. Derechos

Puedes ejercer, en los términos de los artículos 15 a 22 del RGPD y 12 a 18 de la LOPDGDD, los siguientes derechos:

• (a) Acceso (art. 15 RGPD): saber si tratamos tus datos y, en su caso, acceder a ellos.
• (b) Rectificación (art. 16 RGPD): corregir datos inexactos o incompletos.
• (c) Supresión (art. 17 RGPD): pedir que se borren cuando se dé alguna de las causas legales.
• (d) Oposición (art. 21 RGPD): oponerte al tratamiento, en particular a la mercadotecnia directa.
• (e) Limitación (art. 18 RGPD): pedir que se limite el tratamiento en los casos previstos.
• (f) Portabilidad (art. 20 RGPD): recibir tus datos en un formato estructurado y de uso común.
• (g) No ser objeto de decisiones automatizadas (art. 22 RGPD). DataGrowt no toma decisiones de este tipo (apartado 3.2).
• (h) Retirar el consentimiento en cualquier momento, cuando el tratamiento se base en él, sin que afecte a lo tratado antes.

5.2. A quién dirigirte

• (i) Bloque A (DataGrowt como responsable: clientes, visitantes de la web, personas que piden una demo, candidatos): a DataGrowt, por los canales del apartado 5.3.
• (ii) Bloque B (DataGrowt como encargado): al Tenant que trata tus datos (apartado 2.B.3).

5.3. Cómo ejercerlos ante DataGrowt

5.4. Reclamación ante la AEPD

Sin perjuicio de cualquier otra vía, puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD), sobre todo si consideras que el tratamiento no se ajusta a la normativa o no has recibido una respuesta satisfactoria.

Antes de reclamar ante la AEPD, puedes escribirnos para intentar resolverlo, sin que eso suponga renunciar a tu derecho ni retrasarlo.

5.5. Tutela judicial

Conservas en todo caso tu derecho a la tutela judicial efectiva (artículo 79 del RGPD).

6. Proveedores, ubicación de los datos y transferencias

6.1. Dónde están los datos

La web y la plataforma se alojan en servidores de IONOS [CONFIRMAR: entidad y país del centro de datos; «en la Unión Europea» solo si se confirma]. No usamos redes de distribución de contenidos (CDN), servicios antifraude ni herramientas externas de monitorización.

6.2. Lista de subencargados

Son los proveedores que tratan datos personales por cuenta de DataGrowt. La misma lista figura en el DPA. Las certificaciones que pueda tener cada proveedor son suyas, no de DataGrowt.

Si un Tenant usa su propio servidor de Amazon SES o su propia clave de OpenAI, esos proveedores son del Tenant, no de DataGrowt.

6.3. Transferencias internacionales

La única transferencia internacional prevista hoy es la de OpenAI (Estados Unidos) cuando se usa la clave de IA común. Cuando haya una transferencia a un país sin decisión de adecuación de la Comisión Europea, DataGrowt la ampara en alguna de las garantías del capítulo V del RGPD:

• (i) una decisión de adecuación aplicable, como el Marco de Privacidad de Datos UE-EE. UU. para las entidades adheridas;
• (ii) las cláusulas contractuales tipo aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914), en el módulo que corresponda;
• (iii) otros mecanismos del artículo 46 del RGPD o, de forma restrictiva, los supuestos del artículo 49.

6.4. Integraciones que activa el Tenant

Cuando una transferencia internacional se deba a un servicio de terceros que el Tenant conecta con su propia cuenta (por ejemplo, su clave de OpenAI o su servidor de Amazon SES), corresponde al Tenant, como responsable del tratamiento, firmar con ese proveedor las garantías necesarias.

6.5. Copia de las garantías

Puedes pedir una copia de las garantías adoptadas en info@affiliatracker.com.

7. Seguridad

DataGrowt aplica medidas técnicas y organizativas adecuadas al riesgo (artículo 32 del RGPD). Hoy son estas:

• cada cuenta tiene su propio espacio lógico: lo que crea un Tenant solo lo ve ese Tenant;
• contraseñas guardadas con hash seguro, contraseña robusta obligatoria al registrarse y al recuperarla (todavía no en la contraseña inicial que pone el administrador) y cierre de la sesión tras 15 minutos sin actividad;
• permisos por persona, módulo, objeto y acción;
• datos personales enmascarados en el directorio de leads, el inspector de API, las exportaciones de la red de afiliación y la base de contactos de email; no se exportan leads en claro;
• prueba de consentimiento con huella SHA-256 y lista de cesionarios congelada en las landings de Lead Gen Cloud (beta);
• la IA prepara borradores e investiga empresas, pero no envía nada sola: antes de que salga un mensaje, decide una persona;
• conexión cifrada (HTTPS).

Las medidas previstas, que todavía no están implantadas, se publican en la sección Seguridad y cumplimiento de la web. Si se produce una brecha de seguridad, DataGrowt la gestiona y la notifica según los artículos 33 y 34 del RGPD y, como encargado, al Tenant según el DPA.

8. Cookies

La web affiliatracker.com no usa cookies ni guarda nada en tu navegador. La plataforma (app.affiliatracker.com) usa solo cookies técnicas, necesarias para funcionar. El detalle está en la política de cookies.

9. Menores de edad

AffiliaTracker es un servicio para empresas y profesionales y no recogemos a sabiendas datos de menores. Si se comprobara que se han recogido datos de un menor sin la cobertura del artículo 7 de la LOPDGDD, los suprimiremos. Si lo detectas, escríbenos a info@affiliatracker.com.

10. Cambios en esta Política

DataGrowt podrá modificar esta Política para adaptarla a cambios normativos, a criterios de la AEPD o del CEPD o a la evolución del servicio. Los cambios importantes se anunciarán en la web y, cuando proceda, se comunicarán a los Tenants por correo. La fecha de la última actualización figura al principio.

11. Ley aplicable y jurisdicción

Esta Política se rige por la legislación española y por la normativa de la Unión Europea aplicable. Las controversias sobre su interpretación o ejecución se someterán a los juzgados y tribunales de Valencia (España), salvo que la ley imponga otro fuero, sin perjuicio de tu derecho a reclamar ante la AEPD y a la tutela judicial efectiva.

12. Contacto

• Privacidad y ejercicio de derechos: info@affiliatracker.com
• Contacto general: info@affiliatracker.com
• Correo postal: DataGrowt Systems, S.L., Calle Gonzalo Tejero Langarita, 20, planta baja, puerta O, 46026 València, Valencia (España).

DataGrowt Systems, S.L. · Valencia (España)

Registro de cambios

• Versión 2.0 ([CONFIRMAR: fecha]): sin datos personales del administrador; sin delegado de protección de datos designado; nuevo apartado del formulario de demo; la web no usa cookies ni analítica; lista real de subencargados; IA con clave común (OpenAI como subencargado); medidas de seguridad reales; se retiran mecanismos y certificaciones que no existen; plazo de prescripción tributaria corregido; solo versión en español.
• Versión 1.0 (18 de mayo de 2026): primera versión publicada.